- Se descapó
- 23 de septiembre de 2026 a las 1:16 UTC
- Autor
- Kamo
- Compromit
- 6488bd4
RagSearchController lee orgId/memberId/memberId/memberType del cuerpo de JSON en cada camino, incluyendo solicitudes autenticadas por una sesión de *** en lugar de X-Internal-Auth. Un miembro inscrito con sólo VIEW-KB-ARTICLES podría poner un diferente org's id, o la identificación de un miembro diferente, en el cuerpo y la búsqueda que Base de conocimiento de org o notas privadas de ese miembro directamente a través de Qdrant's filtros - la sesión demostró quién estaba preguntando pero nunca limitó lo que ellos podría pedir. /reindex/-orgId- y /status/-orgdá tenía la misma forma nivel arriba: el camino orgId fue confiado una vez que el que llamaba se mantuvo MANAGE-KB-SETTINGS En *alguno* org, sin comprobar que era suyo. Haciéndolo peor, SessionHelper.hasRight volvió a ser verdad para una sesión con un lista de derechos vacíos y de nuevo para uno sin campo de derechos, por lo que la derecha Los controles que custodiaban los tres puntos finales eran esquiables por el mismo campo que faltaba. La regla ahora: en la ruta de la sesión, org/member/memberType se derivan de la sesión sólo ************* añadida a SessionHelper), y reindex/status adicionalmente requiere la ruta orgId para igualar el propio período de sesiones org. ha fallado la derecha cerrada, igualando la de KBService. El camino X-Internal-Auth es AIService no tiene sesión propia y debe nombrar quién es búsqueda en el cuerpo. También cambió la comparación secreta X-Internal-Auth de String.equals a MessageDigest.isIgual que una diferencia de tiempo no puede filtrar el secreto de solos A la vez. Pruebas: SessionHelperRightsPales pines de los casos cerrados por fallos (espejos de KBService's suite). RagSearchControllerAuthzPelarla el bicho de confianza corporal y el reindex/status org check, y por separado prueba el camino interno-auth todavía Confía en el organismo (la única manera de llamar a esto). Cada uno fue verificado rojo contra el código prefijo antes de esta confirmación.