- Dikirim
- 5 Agustus 2026 pukul 07.24 UTC
- Penulis
- Kamo
- Commit
- c7cb180
Review tambahan 6df0008 dikonfirmasi 24 penemuan. Yang penting: CRITICAL - setiap anggota bisa menghapus surat seorang rekan. ID voicemail tim dibuat sebagai "{mailbox} 126; {graphMessageId}", dan marks -read / delete / fetch split caller- diberikan id dan menggunakan kotak surat setengah verbatim sebagai / users / {mailbox} di token aplikasi org - yang dapat mencapai setiap kotak surat di penyewa. The kotak surat + messageId pasangan yang diserahkan oleh GET / instansi / {id} / pesan suara, jadi bahkan bukan permainan menebak. Kotak surat sekarang diselesaikan semata-mata dari panggilan anggota sendiri Microsoft koneksi dan tidak dapat dinilai dari apa pun klien mengirimkan; org- scoped bekerja (sync, health) menyelesaikan tidak ada kotak surat dan tidak membaca apapun. Itu juga berhenti sinkronisasi instance berjalan setiap kotak surat rekan pada token aplikasi. Menjatuhkan kotak surat dari id perbaikan dua cacat lebih dikonfirmasi secara gratis: ids itu ~ 190240 chars terhadap kolom VARCHAR (128) (setiap persistan gagal), dan '126;' membuat Tomcat menolak URL dengan 400 sebelum Spring routing, sehingga mark- baca, arsip dan hapus tidak pernah mencapai server sama sekali. ID ekstensi pindah ke '~' untuk alasan yang sama, dan Teams routing suffix (+ 1425...; ext = 1234, 21 chars) sekarang dipangkas agar sesuai dengan EXTENSI _ NUMBER 's VARCHAR (20) daripada gagal sinkronisasi. Sejarah panggilan diam-diam kosong bagi kebanyakan anggota. getPstnCalls adalah feed tenant- lebar tanpa filter per-user, dan kode capped fetch di 2000 baris sebelum penyaringan, sehingga dalam penyewa dengan lebih dari ~ 2000 PSTN panggilan dalam 90 hari Topi itu dikonsumsi oleh orang lain baris. Penyaringan sekarang terjadi selama paging dan berhenti segera setelah halaman yang diminta penuh. Pemberitahuan grafik diproses secara inline pada thread respon: N Sequential Graph putaran-perjalanan melawan anggaran pengakuan tiga detik. Masa lalu 15% respon lambat dalam sepuluh menit Graph menandai titik akhir "drop" dan diskon Pemberitahuan selama sepuluh menit. Validasi tetap inline; pekerjaan bergerak ke caller- dijalankan eksekusi. HIGH - keanggotaan negara membawa anggota tapi tidak terikat ke orang menyelesaikan tanda -in, sehingga anggota bisa tangan URL sambungan mereka ke rekan dan berakhir dengan rekan apos; s Tim identitas pada baris mereka sendiri. Self... koneksi sekarang membutuhkan tanda Microsoft-in untuk mencocokkan anggota Kamo email; terhubung pada seseorang tetap diperbolehkan dan direkam dalam negara. Anggota VoipController mempercayai jalur keanggotaan tanpa pemeriksaan org GET atau PUT, dan tidak ada hulu disediakan satu: sebuah IDOR cross- penyewa atas setiap anggota VOIP config, sekarang termasuk objek Entra mereka id. Sebelumnya ada, tapi ini berkomitmen adalah apa yang menempatkan identitas dalam muatan itu. Juga, TeamSeedsReconnectException kembali 500 bukannya 409 untuk yang diharapkan "belum terhubung" negara bagian; titik akhir ACS tidak validasi operator config bahwa delegated calling token was POSTed to (now scheI - and hosts-pinted); concurt upkeep berlangganan bisa yatim piatu sebuah Grafik berlangganan terhadap 100- per-org quota; dan acsEndpoint disunting karena operator menempelkan seluruh koneksi string ke dalamnya. Diverifikasi: tes mvn - 136 tes, 0 kegagalan.