- Shipped
- 2 agosto 2026 alle ore 18:38 UTC
- Author
- Kamo
- Commit
- 2f182ed
Il gestore ha preso una HttpServletRequest ma non l'ha mai usato, portando il commento "Nessun auth richiesto — endpoint interno di manutenzione di amministratore". Relè APIService /api/docs/** senza autenticazione gateway e DocsService consente ogni richiesta, quindi questo è stato un innesco anonimo e accessibile a internet per una spazzata che legge documenti byte appartenenti ad ogni inquilino tramite un non-scoped findAll. Circa diciotto altri handler in questo controller già risolvono un caller tramite estrattoKToken(richiesta); questo era un'omissione, non un disegno. Aggiunge il primo prova a questo servizio. La spazzata rimane volutamente su piattaforma. Restrizioni al personale della piattaforma ha bisogno di un segnale dio-mode qui e appartiene con l'autorizzazione nega-by-default lavoro.