- Dikirim
- 10 Agustus 2026 pukul 23.45 UTC
- Penulis
- Kamo
- Commit
- 1144b78
AkuntOrganisme ScopeInterceptor pendek beredar setiap org dan anggota cek pada header mentah X-God-Mode-Active, dan kamo- internal 's menyalin proksi yang header langsung dari permintaan inbound browser. Tanda tangan setiap anggota bisa Oleh karena itu membaca atau menulis ulang metode pembayaran organisasi apapun, faktur, subscriptions dan lisensi dari console fetch. Titik akhir penyimpanan bocor dengan cara yang sama: / penyimpanan / ringkasan dan / penyimpanan / sejarah kehormatan? orgId = pada header telanjang dan membawa @ PlatformAdminOnly, sehingga kelas Javadoc mengklaim bahwa "penyadapan ulang memeriksa klaim terhadap basis data" adalah menggambarkan sebuah niat kode tidak pernah diimplementasikan. Keduanya sekarang pergi melalui GodModeVerifier, yang mencerminkan apa PlatformAdminInterceptor telah benar: users.is _ god dibaca dari database AND klaim aktif atas permintaan. Tidak cukup setengah saja - bendera saja akan menempatkan setiap dewa secara permanen dalam mode dewa, dan header saja dapat diubah.