- Shipped
- 2026年9月23日 1:49 UTC
- Author
- Kamo
- Commit
- f7b2bd5
4つの関連した穴、同じ形:要求は証明しました 会員様は、十分に扱いました。 メニュー セッションFacesController.faces そして********************は、セッションの トランスクリプト、顔、ロスター、またはANY認証メンバーへのレシート org, 会員のチェック無しで. 同じ会員ゲートを追加 ******************** は既に使用しています。 正式な非会員の場合: サポート チケットのリクエスト、アサイン、または 独自のサポートスタッフ(ミラーサポートチケットサービス) getTicketDetail の既存のルール)。 SYSTEM BUG と EXEC2EXEC は何もない 余分: kamo-internal は、これらのエンドポイントを通して決して読みません (確認) app/api/support/system-bugs および app/api/support/exec2exec に対して、 プレーンメンバーの拒否は正しいですし、このコントローラーをから保ちます SystemBugThreadServiceのレポーターの再配達のビジネス。 getMessages の `limit` は 1.100 にクランプされます。 <=0 は、 歴史全体への未踏の読み方。 - MediaController.createMessageは、クライアントが「imgId」に承認しました bare imgRepository の添付ファイルループ。 findById と所有権なし チェック — Img ids は密接なので、プラットフォーム上の任意のファイル (ローン ドキュメント, 患者 チャート、ボルトのアップロード)は、攻撃者が既にあったチャットに添付可能 で、メッセージが読みやすくなります。 今、Imgをに属している必要があります 送信者自身の組織であり、このセッションが独自に記録される 添付ファイル(assocId=CHAT ATTACHMENT、assocObject) Id=セッション guid — 参照 ChatAttachmentService#attach) または送信者によって作成されている お問い合わせ 同じメソッドのサポート TICKET/SOCIAL ブランチ, 以前 訪問者とシステムメンバーがカバーした理論上の任意のメンバーに開く これらは、ticket/org エージェントのアクセスまたは接続組織のメンバーシップが必要です。 匿名の訪問者は、このエンドポイントに達したことがありません。 PublicChatController 独自の、個別に認証されたルート。 メニュー WebChatIntegrationController ハンドラは「一部の組織に署名する」のみをチェックしました。 今、正しいkamo内部の画面ゲートが必要です APIキーのMANAGE ACCESS RULES、ウィジェットのMANAGE CHAT SETTINGS)、 と public-chat-key スコープは同じ allowlist に対して検証されます。 APIManager.tsx は、手作りのスコープ (例: API SIGNATURE) を提供しています。 esigservice の公開 e-sign API は自身で受け付けています) 保存された動詞よりも。 - サポートチケットサービス メニュー 発信者が ACCEPT SUPPORT TICKETS または MANAGE SUPPORT in THEIR OWNの組織で、チケットがなかった org Aでサポートリードが解決、再割り当て、または escalate org B のチケットを id. requireTicketAccess ミラー getTicketDetail: 割り当てられた org のサポート スタッフのリクエスト、割り当てられた org のサポート スタッフ。 StompDestinationAuthz は /topic/support/agent/{memberId} を同じガードします ここで他のすべてのパーメンバーのトピックは、(購読:会員のみ; send: outright を拒絶し、 supportStompRelayController を一致させます 正当な作家だけ。 テスト: サポートTicketAccessControlTestおよび ******************** は新しい規則を直接ピン留めします(mutation) 検証済み: neutering ******************** の回転 5 これらの 赤; StompDestinationAuthzTest と ******************************** カバー STOMPガードおよび更新されたコールサイト。 このコミットの前にフル `mvn test` グリーン (1023 のテスト).