एक सदस्य दूसरे के कैलेंडर एकीकरण तक पहुंचना बंद करें और क्रेडेंशियल को सौंपने वाले समापन बिंदुओं को रोकें

शिप

5 सितंबर 2026 को 7:25 am बजे UTC

लेखक

Kamo

Commit

5355b88

/ सेटिंग / इंटीग्रेशन / सदस्यीय समापन बिंदुओं पर दो दोष, दोनों लाइव और दोनों किसी भी हस्ताक्षरित सदस्य द्वारा पहुंच योग्य। आईडी एकमात्र एक्सेस कंट्रोल था। प्रत्येक / सदस्य /{id} समापन बिंदु ने लिया एकीकरण सीधे रास्ते से और कुछ नहीं पूछा, इसलिए एक सदस्य हो सकता है किसी अन्य सदस्य की पंक्ति को अद्यतन करें - जिसमें उस पर क्रेडेंशियल को ओवरराइट करना शामिल है -- इसे हटा दें, परीक्षण करें, या इसके लिए एक सिंक ट्रिगर प्रकाशित करें। UUID नहीं है प्राधिकरण जांच: ids लॉग, समर्थन धागे और ब्राउज़र इतिहास में यात्रा करते हैं, और पंक्ति को संबोधित किया जाने वाला मेलबॉक्स क्रेडेंशियल रखता है। अब सभी को गेट्स चार, 403 के बजाय 404 का जवाब देते हैं ताकि किसी और की पंक्ति को संबोधित किया जाए यह सुनिश्चित नहीं है कि यह मौजूद है, और प्रयास लॉग इन करें क्योंकि एक असली या तो एक है टूटे हुए ग्राहक या किसी पैदल चलने वाले ids। एक ORG-स्तर की पंक्ति का स्वामित्व कोई नहीं है और इसलिए कभी भी कोई सदस्य नहीं है, जो मायने रखता है क्योंकि यह पंक्ति पूरी तरह से रखती है संगठन की ओथ अनुदान। और सदस्य प्रतिक्रियाएं अभी भी इकाई लौटीं। cbc238a ने क्रेडेंशियल जेसन लिया दो ORG समापन बिंदुओं में से और चार सदस्यों को वापस करने के लिए छोड़ दिया, जो है उसी प्रतिक्रिया निकायों, ब्राउज़र कैश और प्रॉक्सी लॉग में एक ही एन्क्रिप्टेड ब्लोब - सिर्फ रास्ते मैं नहीं देखा था। सभी चार अब एक ही दृष्टिकोण से गुजरते हैं, केवल WHETHER की रिपोर्टिंग एक क्रेडेंशियल फाइल पर है। स्क्रीन जो इनको कॉल करता है वह आज तक पहुंचने योग्य है (nothing imports) PersonalProviderSection, और यह एक GET /member /{id} के लिए पूछता है, जिसे मैप नहीं किया गया है), इसलिए न तो दोष का प्रयोग किया जा रहा था। यही कारण है कि किसी को छोड़ने के लिए नहीं है: समापन बिंदुओं को मैप किया जाता है, सत्र-authenticated और सेवारत।.