- Se descapó
- 23 de septiembre de 2026 a las 7:50 UTC
- Autor
- Kamo
- Compromit
- 90af780
crear/borrar en un alias de correo electrónico, ************* en los dominios de envío de la org, y ************* en un buzón personal (auto-organizado) todos necesitaban sólo un sesión ya existía, pero nada por encima de la preguntaba si el que llamaba era permitido administrar cuentas de correo electrónico en absoluto. Cualquier miembro autenticado podría acuñar un nuevo alias dirección para un colega, añadir un dominio que el relé de correo enviaría entonces como (o quitar el de la org En realidad verificado), o reasignar/borrar la bandeja de entrada personal conectada de un colega. Todos ellos ahora requieren MANAGE-EMAIL-ACCOUNTS - el mismo equivalente de MailboxController de la misma derecha acciones de administración de correo personal ya se aplican (2026-08-14) y reflejando que el controlador denyUnless/has Ayudantes de derecha en cada uno de los tres controladores. Puntos finales de sólo lectura (listDomains, getVerificationRecords, el miembro de correo personal-chantaje y rutas IMAP/OAuth) no cambian: su control de propiedad ya vive donde pertenece, sesión de teclado o la La bandera de los miembros, y la llaga aún más no fue preguntada y no se hizo aquí. AliasControllerRightsTest, DomainControllerRightsTest y **************** fail sin el cambio. Cada acción de administración actualmente tiene éxito (200) para una sesión desnuda en lugar de denegada (403).