- Expédié
- 2 août 2026 à 18:38 UTC
- Auteur
- Kamo
- S'engager
- 2f182ed
Le manipulateur a pris un HttpServletRequest mais ne l'a jamais utilisé, portant le commentaire "Aucun critère d'évaluation interne requis pour l'administration". Relais APIService /api/docs/z sans authentification de passerelle et DocsService permet tous demande, donc c'était un déclencheur anonyme, joignable à Internet pour un balayage qui lit des octets de documents appartenant à chaque locataire via un pluviage de findAll. Environ dix-huit autres gestionnaires dans ce contrôleur résolvent déjà un appelant via extractKToken (demande); celui-ci était une omission, pas un dessin. Ajoute la première tester ce service. Le balayage reste délibérément à l'échelle de la plate-forme. Le restreindre pour le personnel de la plate-forme a besoin d'un signal dieu-mode ici et appartient à l'autorisation né-by-défaut le travail.