Satisfy-across confused-Stellvertreter IDOR + Konto Partei Selbstheilung

Verschifft

6. Juli 2026 um 01:41 UTC

Autor

Kamo

Ausschuss

282105e

- HIGH: süffisieren-über gated auf dem Weg ParteiId, sondern über das DOCUMENT eigenen ausgefächert Partei nachgeschaltet; überprüfen Sie das Dokument gehört zu der autorisierten Partei (gleiche Org) vor Weiterleitung, sonst 403 - schließt Cross-Leerkredner State-Mutation + info-leak. - listParties selbst heilt Partei Links über die Konto-Darlehen, so dass die Registerkarte bevölkert.