- Se descapó
- 5 de septiembre de 2026 a las 7:25 UTC
- Autor
- Kamo
- Compromit
- 5355b88
Dos defectos en los/configuraciones/integración/puntos de final miembros, tanto en directo como ambos alcances por cualquier miembro firmado. El id era el único control de acceso. Cada endpoint /member/Eid. tomó el endpoint integración id directamente del camino y no pidió nada más, para que un miembro pudiera actualizar la fila de otro miembro, incluyendo la sobreescritura de las credenciales en ella -- borrarlo, probarlo o publicar un gatillo de sincronización para ello. Un UUID no es un comprobación de autorización: ids viajan en registros, hilos de soporte e historial del navegador, y la fila que se dirige contiene una credencial de buzón. isMembersOwn ahora puertas todas cuatro, respondiendo 404 en lugar de 403 para que dirigiéndose a la fila de otra persona lo haga no confirmar que existe, y registrar el intento porque uno real es un cliente roto o alguien caminando ids. Una fila de ORG es propiedad de nadie y por lo tanto nunca es un miembro, lo que importa porque esa es la fila que sostiene el todo la subvención de la organización OAuth. Y las respuestas de los miembros aún devolvieron a la entidad. cbc238a tomó credencialesJson fuera de los dos endpoints ORG y dejó a los cuatro miembros devolviéndolo, que es la misma mancha encriptada en los mismos cuerpos de respuesta, alijos del navegador y registros proxy - sólo en los caminos que no había mirado. Los cuatro pasan por la misma vista ahora, informar WHETHER una credencial está en el archivo. La pantalla que las llama es inalcanzable hoy en día (nada importa" PersonalProviderSección, y pide un GET /member/-id' que no esté mapeado), Así que ninguno de los dos defectos se estaba ejercitando. Esa no es una razón para dejar uno: los endpoints están mapeados, autenticados de sesión y sirviendo.