- Expédié
- 5 septembre 2026 à 07:25 UTC
- Auteur
- Kamo
- Commite
- 5355b88
Deux défauts sur les /settings/intégrations/cartes d'extrémité du membre, tous deux vivants et les deux accessible par tout membre qui a été signé. L'id était le seul contrôle d'accès. Le critère d'évaluation de chaque groupe d'actylonais/-id- a pris le l'intégration id directement du chemin et ne demande rien d'autre, de sorte qu'un membre pourrait mettre à jour la ligne d'un autre membre - y compris en superprimant les justificatifs d'identité à son égard - le supprimer, le tester ou publier un déclencheur de synchronisation pour lui. Un UUID n'est pas un vérification de l'autorisation: les voyages ids dans les journaux, les threads de support et l'historique du navigateur, et la ligne adressée maintient un justificatif d'identité de boîte aux lettres. isMembersOwn now gates all quatre, répondant à 404 plutôt que 403 de sorte que s'adresser à quelqu'un d'autre ne pas confirmer qu'il existe, et l'exploitation de la tentative parce qu'une vraie est soit un un client brisé ou quelqu'un qui marche oisigne. Une ligne de niveau ORG n'appartient à personne et donc n'est jamais un membre, ce qui compte parce que c'est la querelle qui tient l'ensemble Subvention OAuth de l'organisation. Et les réponses des membres ont quand même renvoyé l'entité. cbc238a a pris des référencesJson des deux critères d'évaluation ORG et ont laissé les quatre membres qui le restituent, qui est le même blob crypté dans les mêmes corps de réponse, les caches de navigateur et les journaux de proxy -- juste sur les chemins que je n'avais pas regardé. Tous les quatre passent par le même point de vue maintenant, Quoi qu'il en soit, un certificat figure dans le dossier. L'écran qui les appelle est inaccessible aujourd'hui (rien d'importations) PersonalProviderSection, et elle demande un GET/un membre/-id qui n'est pas cartographié), Il n'y avait donc pas eu de défaut. Ce n'est pas une raison de laisser l'un ou l'autre: les critères d'évaluation sont cartographiés, authentifiés en session et en service.