- Se descapó
- 10 de agosto de 2026 a las 18:35 UTC
- Autor
- Kamo
- Compromit
- 8ae5f92
El calendario compartido no tiene dueño, por lo que el listado DAV incluido en la cuenta podría nunca lo devuelve: los eventos de la compañía estaban claramente allí en la web e invisibles en cada teléfono. La recaudación de viviendas ahora sindicaliza los propios calendarios de la cuenta con la compartida de su organización. La razón por la que esto necesitaba atención en lugar de una consulta extra: CalDAV autentica una cuenta, no una membresía, así que simplemente exponer el calendario lo habría hecho escrito por cualquiera cuyo teléfono podría llegar a él - una manera alrededor de la publicación correcta la ruta web se aplica. PUT y DELETE ahora resuelven la membresía detrás de las credenciales DAV y aplicar la misma regla: CREATE-ORG-CALENDAR-EVENTS para escribir al calendario compartido, propiedad de la Escribir a uno personal, 403 de lo contrario. El acceso a lectura se mantiene deliberadamente más ancho que escribir. El calendario compartido es destinado a ser visible para todos en la organización; ese es el punto de - Ahí. Sólo la publicación está restringida. Las pruebas cubren el bypass específicamente: sin derecho, sin membresía en eso organización, y el calendario compartido de otra organización se rechazan cada uno, mientras que un soporte de la derecha está permitido.