Clearing der Bildversion muss "", nicht null senden
************ verbindet, anstatt zu ersetzen, und für das Bild Version ein Null bedeutet "allein lassen" - nur ein Leerzeichen löscht es: if (incoming.getIm...
Rechte Kontrollen, SSRF/credential Guards und Cross-Or-Fixes über VOIP
Findet 2-6 aus dem Telefon-System-Audit, zusammen behoben, weil mehrere Dateien teilen. 2. HIGH - VoipInstanceController hatte keine richtige Kontrolle auf ein...
Das Hinzufügen von Menschen und die Sicherheit der Mitglieder brauchen ihre Rechte
POST /members/create, /create-team-member und /bulk-create, und GET /members/lookup-user, jetzt erfordern MANAGE_MEMBERS oder ein offenes Gottesfenster. Sie übe...
Die Registerkarte Plattform, und drei Links, die ihre eigenen Schlüssel zeigten
Zwei Fehler, beide berichteten von der laufenden Seite. DIE SETTINGS LINKS SHOWED KEY PATHS Die drei Hosted Computer-Sublinks trugen Schlüssel: 'Computer' | 'K...
MANAGE_DOCS_SETTINGS für jede doc-settings Mutation, nicht nur einige
Die Einstellungsseite schickte immer ein Mitglied ohne MANAGE_DOCS_SETTINGS weg, aber zehn Mutationen Endpunkte in ImagingSettingsController haben sich nie gefr...
Scope Thunbail Backfill auf die Org des Anrufers; Gate-Geschichte liest sich durch Freigabe
Zwei unabhängige Lücken in ImagingController: - /backfill-thumbnails ausgewählte Kandidaten plattformweit (kein Organisation Prädikat überhaupt; die last-res...
Drosseln Sie die anonyme Karriere Talent-Alarm-Form
CareersPublicController's POST /{orgRef&Alerts ist der einzige anonyme, nicht authentifizierte Endpunkt in diesem Service, der eine E-Mail auf jeden angenommene...
UpdateDocType benötigt nun, dass der doc-Typ zum eigenen Org des Dokuments gehört
ImageService.updateDocType geladen das Ziel ImgDocType von UUID allein; requireEditableAndOwned beweist, dass der Anrufer den Img bearbeiten kann, sagt aber nic...
Org-scoped Gegenstücke für die Thumbnail-Backfill-Kandidaten-Abfragen
DocsService /backfill-thumbnails admin Endpoint ausgewählte Kandidaten von ************ (plattformweit, kein Organisationsprädikat) oder, als letztes Mittel, ei...
Zählen Sie die unbestätigten Talent-Alert-Reihen für die anonyme Form-Kapitütze
DocsServices Public Talent-Alert-Abonnenten-Endpunkt sendet eine Bestätigungs-E-Mail auf jeden angenommen Anruf, ohne Begrenzung, wie viele noch nicht bestätigt...
Ein IMAP/SMTP-Verbindungstest darf nicht als Netzwerksonde verwendbar sein
POST /api/E-Mail/member-imap/test und /{id'/imap/test, der mit welchem Host und Port verbunden ist Anrufer lieferte und gab die rohe Ausnahmemeldung zurück. Jed...
Alias, Domain- und Personal-Mailbox-Admin-Aktionen benötigen ein Management-Recht
auf einem Email-Alias erstellen/löschen, **************** auf den org-Sendedomains, und ************ auf einer persönlichen (selbstgehosteten) Mailbox, die alle...
Die Mailboxen und Aliasnamen eines Mitglieds sind nur innerhalb der eigenen Organisation lesbar
GET ************ hat überhaupt keine HttpServletRequest genommen - keine Sitzung, keine Org überall auf dem Weg nachprüfen - und GET ************ hat geprüft, o...
Ein Kalender-Export oder Import muss einer sein, den der Anrufer tatsächlich öffnen kann
GET /export/calendar/{id' und POST /import/{calendarId' nahmen die UUID des Kalenders allein - nein HttpServletRequest, also keine Sitzung, keine Org- oder Mitg...
Gate die API auf der App, nicht nur den Bildschirm
Die Einstellungen Seite und die niv-Option beide überprüfen organisatorisch.isHostedComputers, und bis jetzt war das das ganze Tor. AppAvailabilityInterceptor n...
Ein Hosted Computer wird nie automatisch ausgeseredet
Hosted Computers war sowohl durch automatische Bereitstellungspfade erreichbar, und entweder man hätte es vor jede Organisation auf der Plattform auf einmal ges...
Die drei Vorlagen, die nie vereedet wurden
service-template.yaml, cloud-init.userdata.yaml und cloud-init.networkdata.yaml. Sie wurden in eine zweites worktree und von keinem verpflichtet - die früheren ...
SearchService markiert seinen Injektionskonstrukteur, so dass der Service beginnt
9809d4b gab SearchService einen zweiten Konstruktor (eine Uhr, für Tests) und markiert weder, so Frühling wählte weder, suchte nach einem No-argument Konstrukto...
Jeder Ordner einer eingeschalteten Mailbox funktioniert, und die Suche wird umgebaut
Wechsel der Postfächer. Die Ordner-Sideleiste hat immer die OWN des Mitglieds geladen Ordnerbaum, welcher Briefkasten auch immer geöffnet war - so zeigte eine z...
Suchen Sie, die ihre Abfrage ehrt, und jede Mail-Aktion auf der Mailbox, die geöffnet ist
Zwei Probleme auf /messages, im Service behoben. Die Suche hat nicht funktioniert. Der Indexpfad warf eine ClassCastException auf jeden Treffer (Instant -" Tim...
Shared-Mailbox **************** brauchen ein Managementrecht
************ auf /api/email/shared-mailboxes benötigt nur ein Sitzung - jedes authentifizierte Mitglied könnte eine gemeinsame Mailbox erstellen, eine löschen o...
Wenden Sie die pro-Partei/ausgeprägten/gestürzten Kontrollen überall byte-adjacent an, die sie brauchen
************ wandte den ausgestellten Dokumenten-Check an, aber nicht den pro-Partei (ACCOUNT_MEMBER_VAULT/LOAN) oder Trashed-Row überprüft, dass /download, /st...
Verify RingCentral webhooks vor dem Vertrauen
Die eingehenden Anrufe/SMS-Webhaken von RingCentral wurden ohne Überprüfung verarbeitet: WebhookController routed Telefonie / SMS-Shop-Events direkt in ********...
Ein OAuth Zustand Token ist ein Server-Seite Rekord, nicht ein Blob der Browser Hände zurück
/api/email/oauth/callback und ************ sind öffentlich und sessionless (die Provider leitet den Browser hier ohne Kamo-Sitzung um), also war "State" der ein...
Eine Dokumenten-Aktie erreicht jetzt tatsächlich ihren Empfänger, und bearbeiten ist gated
************ passend zu einem ImgShare von ImgShare.member - dem SHARER, der erstellt die Zeile, so dass sie auflisten können, was SIE geteilt (getSharesByImage...
Eine Antwort, in der ein Kontakt mit dem Kontaktname den Kontakt benennt, nicht den Verbindungsinhaber
Ein sozialer Kontakt hat keine Mitgliederreihe, so dass alles, was sie senden, unter dem des Verbindungsinhabers gespeichert wird. Mitglied. Die Geschichte gele...
Überprüfung der Freigabe bei der Wiedergabe der Dokumenteinträge eines Bindemittels
BinderItem pins die Img-Reihe, aus der es bei der Montagezeit gebaut wurde. BinderRenderer.renderItem übergeben dass Img direkt zu ************ ohne Kontrolle f...
Ein From override muss eine Adresse sein, die der Anrufer senden kann
POST /api/email/send nahm request.getFromAddress() direkt in den Header From und das SMTP Briefumschlag Absender ************ -' EmailSmtpService.send, und das ...
Cap Upload-Größe und gleichzeitige Umrüstungen an den nicht authentifizierten Pipeline-Endpunkten
POST /Convert-Vektor und WS /ws/pipeline nehmen keine Antwort (siehe den Begleitbericht dieses Commit-Contracon, warum das ist hier nicht fixiert) und, bis jetz...
Die SOCIAL Lesetor verweigert jede gesellschaftliche Sitzung, nicht nur Cross-Ordn diejenigen
Regression in f7b2bd5, live auf kamowsmedia. canReadSession (MediaController, kopiert in SessionFacesController und ChatSessionMembersController) zugelassen ein...
Hören Sie auf, jedem https://api zu vertrauen.<anything" als Docs WOPI-Host
k8s/Docs-deployment.yaml's alias Gruppe1 war 'https://api\.*'. Docs's Alias-Matcher (RegexUtil::getValue, std::regex_match) verlangt nur, dass die GANZE-Kandida...
Eine vorab vorsignierte URL des Anrufers wurde nicht auf die org des Anrufers ausgeweitet
GET /api/kb/media/mediaId'/url hat die Zeile von uid allein nach oben geschaut (KbMediaService.getPresignedUrl - ************ im Gegensatz zu allen anderen Medi...
WebRTC-Signalgebung, Webinar-Management und Canva-Zeitpläne hören auf, dem Anrufer zu vertrauen
Drei weitere der gleichen Form. - WebRTCSignalingController übermittelt **************** direkt zu **************** nur mit der Nutzlast eigene SessionGuid...
Gate Chat-Anhänge, Voicemails und Anrufaufzeichnungen von mehr als org+clearance
MediaService/Telefonie-Chat-Anhänge (CHAT_ATTACHMENT) und Voicemail/Call-Aufnahmen (VM_RECORDING, CALL_RECORDING) unter ACCESS_LEVEL 0. Jeder generische Bildgeb...
Die Mitgliedskarte ist von der Tastatur aus erreichbar
Die Karte ist bis zum Ende von <body" portaled, so dass sie in der Reihenfolge der Dokumentfolge der ganzen Seite folgt: ein Mitglied wer öffnete es von einem N...
Kein Job überlappt sich, und kein HTTP-Anruf kann einen Arbeiter für immer hängen
Quarz hier läuft 10 In-Speicher-Arbeiterfäden auf einer Replik. 17 der 24 Arbeitsplätze hatten keine @DisallowConcurrentExecution, so dass ein Lauf, dass seine ...
Die Lead-Intake Zähler verbinden die Ledgers der Daemon Falten und erzählt
Die Einnahmeendpunkte erhalten / importierte Zähler sind jetzt ein Ledger (Security Service create_lead_intake_ledger.sql, angewendet 2026-09-22): ein Trigger a...
Aufnahme-Endpunkte zeigen exakte empfangene/importierte Zähler aus dem Einnahme-ed-Zhl an
Die Lead Intake Einstellungsliste zeigte total_received / total_processed / last_received_at direkt von der Endpunktreihe, wo sie einmal pro Nutzlast auf einer ...
Einnahme Endpunkt Zähler kommen aus einem Ledger und stoppen Sie verlieren Updates
**************** / total_processed / last_received_at wurden auf den Endpunkt gestoßen Reihe selbst: einmal pro eingehender Nutzlast (ca. 5/s während eines land...
Weigern Sie sich, STDIO für eine nicht gelistete Konfiguration zu laichen, und weigern Sie sich, eine SSE/HTTP-Konfigur mit dem Cluster-Netzwerk zu verbinden
Verteidigung in der Tiefe neben dem AIService begehen, die AiMcpControllers fehlendes Recht schließt Checks und STDIO Ablehnung an der Quelle: dieser Service is...
MCP-Konfiguren benötigen MANAGE_AI_SETTINGS, Provider/MCP-urls können das Cluster nicht erreichen, Quotenrichtlinien werden durchgesetzt
Drei unabhängige Befunde, die zusammen festgelegt sind, weil die ersten beiden Dateien und eine Klasse teilen. 1. AiMcpController hatte null richtige Kontrolle...
Session liest, Ticket-Mutationen und öffentliche Schlüssel hören nicht mehr dem Anrufer zu, das Sagen zu haben
Vier verwandte Löcher, alle die gleiche Form: eine Anfrage trug eine authentifizierte Mitglied, und das wurde als genug behandelt. - **************** SessionFa...
Bind jeden WOPI Endpunkt an das Dokument sein Token wurde geprägt für
CheckFileInfo war der einzige WOPI-Endpunkt, der beide das Zugriffs-Token verglichen hat Dokument gegen den Antragspfad und erneut überprüft Live-Zugriff; GetFi...
Der Sitzungspfad sucht die eigene Org des Anrufers, nie die Anfragestelle
RagSearchController lesen orgId/memberId/memberType vom JSON-Körper auf jedem Pfad, einschließlich Anfragen durch eine *** Sitzung authentifiziert, anstatt X-In...
Geben Sie der postbuild Kompressionssonde mehr Zeit, um den Server zu starten.
Docker Builds können immer noch nach Prerender Arbeiter fertig abgesetzt werden; stromaufwärts und Sondierung warten und Oberfläche Kinder stderr, wenn Start-up...
Senken Sie das schwebende Logo um 3px.
Reduzieren Sie NAV_LOGO_RISE von 10 bis 7, so dass die Marke sitzt etwas niedriger sitzt, während gemeinsame Chrom-Mathematik in Synchronisation.
Stoppen Sie die doppeltezählte Bannerhöhe auf sekundären Seiten.
Body behält sich bereits den Vorschaustreifen vor; Hauptpolster klärt jetzt nur die nörnische Reihe und das Logo-Überhang, so dass innere Seiten kein zweites Ch...
Bewegen Sie das schwebende Logo außerhalb des Header mit Block.
Hintergrund-Filter auf der Kopfseite gefangenen Position: Feste Kinder so oben und Margen Offsets nie bewegt die Marke; Pin es an den Blickhafen statt.
Bewegen Sie das schwimmende Logo mit MargeTop statt Top calc.
Der dynamische Top-Koka, der die Marke nicht verschoben hat; spiegeln nerv-Rennbe-Centierung und ziehen Sie es 10px mit MargeTop.
Pin das schwebende Logo Oberkante für eine zuverlässige vertikale Offset.
Hören Sie auf, sich auf übersetzen (-50%), die die gerenderte Marke nicht bewegte, und legen Sie das Logo 10px über das Nav Center explizit.
Wie, was Sie sehen Versand?
Alles kommt in Ihrem Arbeitsbereich für sich. Starten Sie mit dem kostenlosen Plan und lesen Sie diese Seite in einem Monat wieder.