- Dikirim
- 23 September 2026 pukul 01.16 UTC
- Penulis
- Kamo
- Commit
- 6488bd4
RagSearchController membaca orgId / memberId / memberType dari tubuh JSON pada setiap path, termasuk permintaan terotentikasi oleh sesi * * * daripada X-Internall-Auth. Sebuah sinyal-dalam anggota dengan hanya VIEW _ KB _ ARTICLES bisa menempatkan id org yang berbeda, atau id anggota yang berbeda, dalam tubuh dan pencarian yang Pengetahuan org dasar atau catatan pribadi anggota langsung melalui Qrant Filter - sesi membuktikan siapa yang meminta tetapi tidak pernah dibatasi apa yang mereka bisa minta. / reindex / {orgId} dan / status / {orgId} memiliki bentuk yang sama level ke atas: path orgId dipercaya sekali penelepon diadakan Manvage _ KB _ SETTINGS dalam * beberapa * org, tanpa memeriksa itu adalah milik mereka. Membuat lebih buruk, SessionHelper.hasRight kembali benar untuk sesi dengan daftar hak kosong dan lagi untuk satu tanpa bidang hak sama sekali, sehingga hak pemeriksaan menjaga ketiga titik akhir yang bisa dilewati oleh bidang hilang yang sama. Aturan sekarang: pada jalur sesi, org / anggota / memberType diturunkan dari session only * * * * * * * * * * * * added to SessionHelper), and reindex / status secara otomatis mengharuskan path orgId untuk sama dengan sesi sendiri org. hasRight gagal ditutup, pasangan KBService. Path X-Internall-Auth adalah tidak berubah - AIService tidak memiliki sesi sendiri dan masih harus nama siapa itu mencari di dalam tubuh. Juga beralih X-Internall -Auth perbandingan rahasia dari String.equals ke MessageDigeisEqual sehingga perbedaan waktu tidak dapat membocorkan satu byte rahasia pada suatu waktu. Tes: SesionHelperRights Uji pin kegagalan-tertutup kasus (cermin KBService 's suite). RagSearchControllerAtellzTest pin bug tubuh -trust dan reindex / status org periksa, dan secara terpisah membuktikan jalur proses-auth masih mempercayai tubuh (AIService hanya cara untuk memanggil ini). Masing-masing diverifikasi merah Terhadap kode pre- fix sebelum komit ini.