- Szycy
- 9 sierpnia 2026 03:03 UTC
- Autor
- Kamo
- Pochęt się
- b114fca
/api/billing/accounts obejmuje jego notowanie przez nagłówek X-Org-Id, ale każda trasa poniżej /AmcountUid wziął id prosto ze ścieżki i nigdy nie sprawdził, kto jest jego właścicielem — 24 osoby prowadzące pokrycie zmian planu, liczby miejsc, anulowanie, metody płatności i członków subskrypcji. Każdy z nas Członek dowolnej organizacji może odczytać lub przepisać inną organizację rozliczeniową, wymieniając swoje konto. Id. Usługa jest klastrowa i jest dostępna tylko dzięki internatem kamo-internal, więc wymagało to Sesja zamiast dostępu do klastra: proxy załącza X-Org-Id z tej sesji i do przodu Jakakolwiek jest droga, którą jest przekazywana. Przechwytujący zamiast 24 edycji, więc trasa dodana później jest domyślnie pokrywana — poprzednia Układ był jednym pominięciem na punkt końcowy. Tryb Boży przechodzi, ponieważ platforma admin działająca W orgach jest jedynym dzwoniącym, dla którego jest to uzasadnione, a nierozwiązana relacja id jest pozostawiona. Obsługa, aby mógł odpowiedzieć 404. Celowo NIE dodawać tutaj kontroli finansowej. Zakładka Plans and Billing jest zamknięta "jest to ja, czy jestem właścicielem organizacji", a nie po prawej, więc wymaganie MANAGE_ORG_FINANCES Zablokuj każdego zwykłego członka z własnej subskrypcji. Egzekwowanie tego, że wewnątrz reguły reguły-poza serwerem Jest to osobne pytanie o to, kto może zmienić, czyja subskrypcja, i powinna ona zostać rozstrzygnięta, a nie Zgadłeś. 7 testów obejmuje bramę; 89 przejść w ogóle.