UpdateDocType benötigt nun, dass der doc-Typ zum eigenen Org des Dokuments gehört

Verschifft

23. September 2026 um 08:56 UTC

Autor

Kamo

Ausschuss

4463686

ImageService.updateDocType geladen das Ziel ImgDocType von UUID allein; requireEditableAndOwned beweist, dass der Anrufer den Img bearbeiten kann, sagt aber nichts darüber aus, wessen Taxonomie-DocTypeId benennt. A Mitglied mit EDIT_DOCUMENTS auf ihrem eigenen Dokument könnte es unter einem doc-Typ einreichen, der zu einem verschiedene Organisation vollständig, wenn sie seine UUID nennen könnte. Verweigern Sie die Zuweisung, es sei denn docType.organisation passt img.organisation.