- Szycy
- 5 września 2026 07:25 UTC
- Autor
- Kamo
- Pochęt się
- 5355b88
Dwie wady na /settingach/integracjach/członków, zarówno żywych, jak i obu Dostępna przez każdego zalogowanego członka. Id był jedyną kontrolą dostępu. Każdy /member/Aid-punkt końcowy zajął Integracja id prosto z drogi i nie prosi o nic innego, więc członek mógł Aktualizacja wiersza innego członka - w tym nadpisanie poświadczeń na nim - Usuń go, przetestuj lub opublikuj dla niego spust synchronizacji. UUID nie jest Kontrola autoryzacji: ids podróże w dziennikach, wątkach wsparcia i historii przeglądarki, oraz Adresowany w rzędzie zawiera poświadczenia skrzynki pocztowej. ismbersOwn teraz bramki 4, odpowiadając na 404, a nie 403, aby zwrócić się do czyjegoś wiersza Nie potwierdzaj, że istnieje, i rejestrowanie próby, ponieważ prawdziwy jest albo Złamany klient albo ktoś chodzi na dziewaki. Rząd na poziomie ORG jest własnością nikogo i tak Nigdy nie jest członkiem, co ma znaczenie, ponieważ jest to rząd trzymający całość. Grant organizacji OAuth. A odpowiedzi członkowskie nadal zwracały podmiot. cbc238a wziął poświadczeniaJson Z dwóch punktów końcowych ORG i pozostawił cztery członowe zwrócone je, czyli Ta sama zaszyfrowana blob w tych samych organach odpowiedzi, pamięciach skrzydeł przeglądarki i dziennikach proxy - tylko na ścieżkach, na które nie patrzyłem. Cała czwórka przechodzi teraz przez ten sam widok, Zgłaszanie tylko poświadczenia jest w aktach. Ekran, który je wywołuje, jest dziś nieosiągalny (nic importu PersonalProviderSection, a ona prosi o GET / członek/-, który nie jest odwzorowany), Tak więc żadna wada nie była wykonywana. To nie jest powód, aby zostawić je: Punkty końcowe są mapowane, sesyjne - uwierzytelnione i służące.