- Expédié
- 3 août 2026 à 03:39 UTC
- Auteur
- Kamo
- Commite
- 8eb4164
ResourceServerConfig est n'importe quelle revendication().permitAll() et «EnableMethodSecurity apparaît nulle part dans ce service, donc chaque pré-autorisation est inerte et le public est le par défaut. L'autorisation est une convention par manipuleur, qui signifie un gestionnaire qui oublie qu'il est accessible sans références grâce à l'inauthenticité d'APIService /api/sifflement de sécurité/------------------------------------------------ Cinq exemples exactement qui ont été fixés cette semaine - n'a pris aucune demande HttpServletRequest, et les responsables de JobTitle/Department PUT et DELETE acceptent les droits. Les instances de fixation ne fixent pas la classe. Un scanner révèle 406 de 1034 cartographiés les critères d'évaluation de ce service, sans résolution de session, ni d'aide aux droits, n'importe où le corps de manutention. Cela correspond à ceux-ci et échoue à la base de toute NOUVELLE, donc le le nombre ne peut que diminuer. Un deuxième essai échoue lorsqu'une rubrique initiale ne correspond plus à un non-visage terminal. La fixation d'un gestionnaire nécessite donc la suppression de sa ligne, qui est ce qui fait bouger le nombre plutôt que de laisser le fichier pourr dans un cimetière que tout le monde cesse de lire. Prouvé par mutation dans les deux sens: l'ajout d'un critère d'évaluation non surveillé échoue et le nomme; ajouter un garde à un gestionnaire de base sans enlever sa ligne tombe en panne et nomme ça aussi. Délibérément grossier, et ce n'est PAS un audit d'autorisation. Un corps compte comme gardé s'il mentionne un assistant connu, donc l'absence par rapport à la ligne de base signifie "révisés une fois", jamais "prouvé sûr". Certaines entrées de référence sont correctement publiques. (login, récupération de mot de passe, webhooks, SSR org lookup), certains d'entre eux d'abord un service, et un nombre inconnu sont véritablement sans authentifiés. Le triage est WS-1 en kamo-interne - La valeur ici est le cliquet, pas le verdict.