- Se descapó
- 4 de septiembre de 2026 a las 16:54 UTC
- Autor
- Kamo
- Compromit
- 84e231a
Forgot-password resolvió la dirección tecleada en el formulario contra dos fuentes: el correo electrónico de la cuenta, y el buzón de org señaló Primaria en el miembro configuración. El segundo lee mail.provider.mailboxes / member-mailboxes, filas que sólo existe una vez que el proveedor de correos de la org ha sido configurado y sincronizado. Un org que dirige su correo a algún lugar que no administramos no tiene filas allí en Todos. Harmony Home Loans se trasladó de KamoMail a Google Workspace cuya API es aún no se ha creado, por lo que ambas mesas están vacías para ellos, y la cuenta de sus miembros Los correos electrónicos son direcciones de gmail/yahoo personal. La dirección que realmente escriben es su dirección de trabajo de la empresa .harmonyhomeloans.net, que coincidía con ninguna fuente, así que cada intento registrado RecoveryService.emailIniciar: ningún usuario encontrado para correo electrónico (no revelación) y devuelta "si este correo electrónico está registrado, se ha enviado un enlace de recuperación" sin haber enviado nada. Un restablecimiento de contraseña es un flujo de sistema fundamental; debe no depende de cómo un org configure sus buzones. Esa dirección estaba registrada todo el tiempo, en members.email, que está escrito cuando el miembro es creado y es independiente de cualquier proveedor. Ahora es el último identificador probado, en la recuperación y en el inicio de sesión por igual, después de la cuenta identificador y el buzón de Primaria han tenido su opinión, por lo que nada que ya resuelto cambia el significado. Como una dirección de buzón es org-scoped, así que no sólo lo que está firmando en pero donde: la ruta de inicio de sesión unscopio toma los ids de org con la cuenta y restringe el inicio de sesión para ellos, exactamente como ad48f49 lo hace para un buzón. Sin que, la firma por dirección de trabajo habría ofrecido cada espacio de trabajo el la cuenta pertenece a. Una dirección que nombra dos cuentas diferentes todavía tampoco autentica.