Zatrzymaj jednego członka, który dotrze do integracji kalendarza innego, i zatrzymaj punkty końcowe, rozdając poświadczenia

FixEmailService
Szycy
5 września 2026 07:25 UTC
Autor
Kamo
Pochęt się
5355b88

Dwie wady na /settingach/integracjach/członków, zarówno żywych, jak i obu Dostępna przez każdego zalogowanego członka. Id był jedyną kontrolą dostępu. Każdy /member/Aid-punkt końcowy zajął Integracja id prosto z drogi i nie prosi o nic innego, więc członek mógł Aktualizacja wiersza innego członka - w tym nadpisanie poświadczeń na nim - Usuń go, przetestuj lub opublikuj dla niego spust synchronizacji. UUID nie jest Kontrola autoryzacji: ids podróże w dziennikach, wątkach wsparcia i historii przeglądarki, oraz Adresowany w rzędzie zawiera poświadczenia skrzynki pocztowej. ismbersOwn teraz bramki 4, odpowiadając na 404, a nie 403, aby zwrócić się do czyjegoś wiersza Nie potwierdzaj, że istnieje, i rejestrowanie próby, ponieważ prawdziwy jest albo Złamany klient albo ktoś chodzi na dziewaki. Rząd na poziomie ORG jest własnością nikogo i tak Nigdy nie jest członkiem, co ma znaczenie, ponieważ jest to rząd trzymający całość. Grant organizacji OAuth. A odpowiedzi członkowskie nadal zwracały podmiot. cbc238a wziął poświadczeniaJson Z dwóch punktów końcowych ORG i pozostawił cztery członowe zwrócone je, czyli Ta sama zaszyfrowana blob w tych samych organach odpowiedzi, pamięciach skrzydeł przeglądarki i dziennikach proxy - tylko na ścieżkach, na które nie patrzyłem. Cała czwórka przechodzi teraz przez ten sam widok, Zgłaszanie tylko poświadczenia jest w aktach. Ekran, który je wywołuje, jest dziś nieosiągalny (nic importu PersonalProviderSection, a ona prosi o GET / członek/-, który nie jest odwzorowany), Tak więc żadna wada nie była wykonywana. To nie jest powód, aby zostawić je: Punkty końcowe są mapowane, sesyjne - uwierzytelnione i służące.

Wszystkie zmiany

Jak to, co widzisz żeglugę?

Każda z tych aktualizacji automatycznie ląduje w miejscu pracy. Zacznij za darmo i obserwuj, jak rośnie tydzień po tygodniu.

Start Free ForeverZobacz ceny