- Se descapó
- 14 de agosto de 2026 a las 22:22 UTC
- Autor
- Kamo
- Compromit
- 757a7a2
GET /shares/resolve-alias convierte un alias adivinable en el nombre de una persona real y sólo requería una sesión válida. La regla vivía únicamente en ShareDocumentDialog, y la ruta es accesible directamente a través de APIService /api/docs/** forward, por lo que el La comprobación del cliente fue la misma forma que el agujero LegalPackageAccess existe acercar. Espejos el diálogo exactamente: un miembro del equipo siempre puede resolver; cualquier otra persona necesita el alias derecho de la persona al alias resuelto, razón por la cual el El mirador pasa antes del chequeo correcto. Una falta todavía responde 404 primero, así que un alias inexistentes no filtra nada de ninguna manera. El tercer mandato del diálogo, miembroTypeUnknown, no se refleja deliberadamente. Es un retroceso para las sesiones emitidas antes de que existiera miembroType; el servidor siempre sabe el tipo, y copiarlo dejaría la puerta sorteable para siempre presentando un una vieja sesión. Sin bloqueo: el navegador ya rechaza estas llamadas para los miembros sin el derecho, por lo que el único tráfico recién rechazado es una llamada directa de la API que estaba eludiendo la regla. No se necesita sembrar. Tres pruebas existentes construyen ImagingController directamente y se llevan lo nuevo Docstor.