- Spegnimento
- 10 agosto 2026 alle ore 18:04 UTC
- Autore
- Kamo
- Impegno
- 987756a
GET /api/calendar/calendars ha preso userId come parametro di richiesta, quindi cambiando un numero nell'URL legge i calendari di chiunque — e perché i calendari trasportati nessuna organizzazione, in ogni inquilino. Peggio, nessuna mutazione controllata qualsiasi cosa: POST legato un intero UserCalendar così il chiamante ha scelto il suo proprietario, e PUT e DELETE su calendari ed eventi risolti da id senza prova di proprietà. Qualsiasi membro potrebbe modificare o eliminare chiunque. L'organizzazione e il membro vengono ora entrambi dalla sessione stabilita. MemberCalendarService detiene il percorso dei membri. CalendarService soggiorni la facciata a livello di entità CalDAV e la condivisione di sincronizzazione esterna, perché quelli autenticare un conto piuttosto che un'appartenenza — una autenticamente diversa campo, non una supervisione. Il calendario dell'organizzazione è leggibile da ogni membro e scrivibile solo con CREATE ORG CALENDAR EVENTI. Un rifiuto è 403, non 404: il membro può vedi il calendario, quindi fingere che non esista sarebbe una bugia il cliente non può agire. Un cliente non può anche promuovere il proprio calendario inviando èOrgCalendar — che la bandiera è ignorata su creare. I payload diventano DTO. Membro, organizzazione e utente delle entità le associazioni sono pigre, così Jackson li ha resi nulli e un cliente potrebbe Non dire a chi ha tenuto il calendario. L'evento DTO trasporta èPrivato e è ricorrente anche se nulla qui varia su di loro: il modale lega entrambi a interruttori, e un valore mancante trasforma un ingresso controllato incontrollato. listEvents accetta anche startDate/endDate. Il browser ha sempre inviato quelle contro una firma che delimita solo inizio / fine, quindi ogni richiesta è arrivata con Nessuna finestra.