- Spegnimento
- 14 agosto 2026 alle ore 22:22 UTC
- Autore
- Kamo
- Impegno
- 34059bc
/ soci-subscribers e /team-members-appaltatori enumerate l'organizzazione persone — nomi e ids — per riempire il documento-share autocompleto, e richiesto solo una sessione. ShareDocumentDialog era l'unica cosa che applicava la regola, e entrambe le rotte sono raggiungibili direttamente tramite APIService. Specchi la finestra di dialogo: un membro del team può sempre cercare, chiunque altro ha bisogno del corrispondente SHARE DOCS SEARCH * destra. membroTypeUnknown non è deliberatamente Sperimentato — è un fallback legacy e renderebbe permanentemente il cancello bypassabile. Il tipo del chiamante viene risolto dal database piuttosto che da una chiave di sessione, perché il tipo è un ingresso di autorizzazione qui e il database è il l'autorità su di esso. Nessun blocco: il browser già rifiuta queste richieste per i membri senza il giusto, quindi l'unico traffico appena rifiutato è una chiamata API diretta che è stato bypassando la regola. Entrambi i manici erano sulla linea di base del ratchet non custodito; rimosso, prendendolo dal 397 al 395. La mancata prova era il segnale corretto — richiede il conteggio cadere piuttosto che lasciare che il file cresca stallo.