- Expédié
- 5 août 2026 à 07:24 UTC
- Auteur
- Kamo
- Commite
- c7cb180
L'examen contradictoire du 6df0008 a confirmé 24 conclusions. Les plus importantes: CRITIQUES - Tout membre peut supprimer le courrier d'un collègue. Les équipes ont été les identificateurs de messagerie vocale Composé sous le nom de "-mailbox-graph-graph-MessageId-", et mark-read / delete / fetch split the id fourni par l'appelant et a utilisé sa boîte aux lettres à moitié in extenso sous la forme d'un article/utilisateurs/box le jeton d'application d'org - qui peut atteindre toutes les boîtes aux lettres du locataire. Le Les paires de mailbox-message-modie ont été distribuées par GET /instances/-id-/voicemails, donc il n'était même pas un jeu de devinettes. La boîte aux lettres est désormais résolue uniquement à partir de l'appel la connexion Microsoft du membre et n'est pas dérivable à partir de quoi que ce soit un client envoie; org-scoped work (sync, health) ne résout pas la boîte aux lettres et ne lit aucune. Que Il empêche également l'instance de synchronisation de marcher sur la boîte aux lettres de chaque collègue sur le jeton de l'application. L'abandon de la boîte aux lettres de l'id corrige deux autres défauts confirmés sont gratuits: ids était de 190-240 chars contre une colonne VARCHAR(128) (chasses persistent) et le '-' a fait que Tomcat rejette l'URL avec un 400 avant le routage du printemps, donc lire, archivez et supprimer n'a jamais atteint le serveur. Les ids d'extension passent à '-'pour La même raison, et le suffixe de routage des équipes (no 1425...;ext-1234, 21 chars) est maintenant garni pour s'adapter au VARCHAR(20) d'EXTENSION-NUMBER au lieu de ne pas échouer à la synchronisation. HIGH - l'historique des appels était silencieusement vide pour la plupart des membres. getPstnCads est un Alimentation à l'échelle du locataire sans filtre par utilisateur, et le code plafonné à l'arrivée en 2000 Lignes AVANT le filtrage, donc chez tout locataire avec plus de 2 000 appels RTPC en 90 jours la coiffe était consommée par les rangées d'autres personnes. Le filtrage se produit maintenant pendant la pageage et s'arrête dès que la page demandée est pleine. HIGH - Les notifications graphiques ont été traitées en ligne sur le fil de réponse: N des allers-retours séquentiels du graphique sur un budget de reconnaissance de trois secondes. Anglais Réponses lentes de 15 % en dix minutes Le graphique marque le critère d'évaluation « goutte » et les rejets notifications de dix minutes. La validation reste en ligne; le travail passe à un Exécuteur-appelé dirigé. HIGH - l'État de connexion membre portait un membreId mais rien ne l'a lié à la une personne qui termine l'inscription, de sorte qu'un membre peut transmettre son URL de connexion à une collègue et finissant avec l'identité des équipes de collègue dans leur propre ligne. Auto-auto- la connexion nécessite désormais la connexion de Microsoft pour correspondre à l'e-mail Kamo du membre; Se connecter au nom d'une personne séjourne est autorisé et est consigné dans l'état. HIGH - MemberVoipConfigureController a fait confiance au membre du cheminId sans contrôle d'org S'ETIR ou PUT, et rien en amont n'a fourni un: un intermitain IDOR sur chaque Configuration VOIP du membre, y compris maintenant leur objet Entra id. Préexistant, mais L'engagement est ce qui met une identité dans cette charge utile. Egalement: TeamsNeedsReconnectException a renvoyé 500 au lieu de 409 pour les besoins attendus. état "non encore connecté"; le critère d'évaluation de l'ACS était l'opérateur non validé config qui a Un jeton d'appel délégué a été choisi par POSTed (maintenant----------------------------- l'entretien de l'abonnement pourrait orphelinr un abonnement Graph contre le 100-par or et acsEndpoint est caviardé parce que les opérateurs congelent l'ensemble de la connexion s'y rattache. Vérifié: épreuve mvn: 136 essais, 0 défaillance.