- Verschifft
- 5. September 2026 um 07:25 UTC
- Autor
- Kamo
- Ausschuss
- 5355b88
Zwei Defekte an den /settings/integrations/member endpoints, beide live und beide erreichbar für jedes angemeldete Mitglied. Die ID war die einzige Zugangskontrolle. Jeder /member/{id] Endpunkt nahm den Integration id direkt vom Weg und fragte nichts anderes, so dass ein Mitglied könnte Aktualisieren Sie die Reihe eines anderen Mitglieds -- einschließlich des Überschreibens der Zugangsdaten darauf -- löschen, testen oder einen Synchron-Trigger veröffentlichen. Eine UUID ist kein Autorisierungsprüfung: IDs reisen in Logs, Support-Threads und Browser-Historie und die ansprechende Zeile hält einen Mailbox-Anmelden. isMembersOwn now gates all vier, Beantwortung 404 statt 403, so dass die Adressierung jemand anderes Zeile tut nicht bestätigen, dass es existiert, und Protokollierung des Versuchs, weil eine echte ist entweder ein gebrochen Client oder jemand zu Fuß ids. Eine ORG-Level-Reihe gehört niemandem und so ist nie ein Mitglied der eigenen, was zählt, weil das ist die Reihe hält die ganze Organisation OAuth Zuschuss. Und die Mitglieder Antworten noch zurück die Entität. cbc238a nahm AnmeldeinformationenJson aus den beiden ORG Endpunkten und ließ die vier Mitglieds zurück, die es zurückgeben der gleiche verschlüsselte Blob in den gleichen Antwort-Körpern, Browser-Cachings und Proxy-Logs -- nur auf den Wegen, die ich nicht angeschaut hatte. Alle vier gehen jetzt durch die gleiche Ansicht, Berichterstattung nur WHETHER ein Anmeldedaten ist auf Datei. Der Bildschirm, der diese nennt, ist heute unerreichbar (nicht importiert PersonalProviderSection, und es fragt nach einem GET /member/{id', das nicht abgebildet ist), so wurde keiner der Defekte ausgeübt. Das ist kein Grund, beides zu verlassen: die Endpunkte sind abgebildet, Session-authentisch und Servieren.