- Expédié
- 9 août 2026 à 03:03 UTC
- Auteur
- Kamo
- Commite
- b114fca
/api/billing/accounts donne son inscription par l'en-tête X-Org-Id, mais chaque itinéraire sous-marins J'ai pris l'id directement depuis le chemin et n'a jamais vérifié qui en possédait plus de 24 manutentionnaires. couvrir les modifications du plan, le nombre de sièges, l'annulation, les méthodes de paiement et les affiliés. Tout membre d'une organisation pourrait lire ou réécrire la facturation d'une autre organisation en nommant son compte id. Le service est ClusterIP et n'est accessible que par le biais du principe kino-interne, donc cela nécessitait un l'accès à la session plutôt qu'à l'exclusion des groupes thématiques: le mandataire fixe X-Org-Id à partir de cette session et à l'avance Quel que soit le chemin qu'on lui tend. Un intercepteur plutôt que 24 édi, donc une route ajoutée plus tard est couverte par défaut - le précédent l'arrangement était une omission par critère d'évaluation. Le mode Dieu passe, depuis qu'un administrateur de plate-forme agissant à travers les orgs est le seul appelant pour qui c'est légitime, et un compte insoluble id est laissé à le manipulateur afin qu'il puisse répondre à 404. N'ajoutez délibérément PAS un chèque de droit financier ici. L'onglet Plans et facturation est fermé "est-ce que c'est moi, ou suis-je le propriétaire de l'organisation", pas sur un droit, donc exiger la MANAGE-ORG-FINANCES verrouiller chaque membre ordinaire de son abonnement. Envisager que le côté du serveur de règles à l'intérieur de l'orge est une question distincte sur la personne qui peut changer de l'abonnement, et il devrait être décidé plutôt que devinez. 7 essais portent sur la grille; 89 passes au total.