- Przesyłane
- 15 sierpnia 2026 01:20 UTC
- Autor
- Kamo
- Zgłoszenie
- e6cf9d3
/api/meet/create sprawdził tylko to, że miałeś sesję, więc każdy uwierzytelniony Członek każdej organizacji może stworzyć spotkanie z dostawcą org — START_MEETING jest przyznawany i dekoracyjny tak długo, jak istnieje. /api/meet/join-info było takie samo, a to oddaje hasło spotkania i Dostawca dołączy do adresu URL, aby każdy członek organizujący spotkanie mógł odczytać poświadczenia Na każde spotkanie w orgu. Obaj przechodzą teraz przez MeetSessionResolver, obok kontroli canManageMeetSettings Ustawienia już używają punkty końcowe. START_MEETING celowo nie sprawdza ponownie VIEW_MEETINGS, jego rodzic: zamknięcie hierarchii cofa dziecko, którego przodki łańcuch Nie przyznaje się, więc sesja niosąca dziecko przewozi rodzica przez Konstrukcja, a także ręczne walcowanie pary tutaj jest wymagamCZ powielać Hierarchia istnieje po to, by je usunąć. Kontrole nie zamknięto w sesji bez funkcji tablicy praw. To jest to samo Uzasadnienie, które utrzymywało "typ nieznany" -> pozwól" napad z dala od Kontrole udziałów po stronie serwera: wyłączenie z sesji starej staje się trwałą obejściem. To zamyka każdego, kto nie trzyma prawa – 36 z 69 członków w Produkcja dzisiaj – więc nie może być wysyłana bez MeetRightsSeedMigration in KamoInitializerService, który przyznaje oba prawa do każdej istniejącej roli.