Wyczyszczenie wersji obrazu musi wysłać "", a nie z null
- scala się, a nie zastępuje, a dla obrazu Wersja a null oznacza "pozwolić wszystko, co tam jest" - tylko pusty sznurek oczyszcza go: if (incoming.getImage...
Prawe kontrole, SSRF / osłony uwierzytelniające i poprawki krzyżowe w całym VOIP
Wyniki 2-6 z audytu systemu telefonicznego, ustalone razem, ponieważ kilka plików udostępnia. 2. HIGH — VoipInstanceController nie miał właściwej kontroli pod ...
Dodawanie ludzi i bezpieczeństwa członków wymaga ich praw
POST /members/create, /create-team-członek i /bulk-create, i GET /members/lookup-user, teraz Wymagaj MANAGE_MEMBERS lub otwartego okna boga. Sprawdzali tylko na...
Zakładka platformy i trzy linki, które pokazywały własne klucze
Dwa błędy, oba zgłoszone z witryny. Zestawy LINKI SHOWED KEY PATHS Trzy podłączane podłączały klawisze: "komputery" | 'pojemność' | "domyślnie" i brak etykiety...
Wymagaj MANAGE_DOCS_SETTINGS na każdej mutacji dok-settings, a nie tylko niektórych
Strona ustawień zawsze wysyłała członka bez MANAGE_DOCS_SETTINGS, ale dziesięć mutacji Punkty końcowe w ImagingSettingsController nigdy nie zadawał sobie pytani...
Scope thumbnail backfill to the caller's org; historia bramy odczytuje przez przepustkę
Dwie niezależne luki w ImagingController: - /backfill-thumbnails wybrane przez kandydatów platformy-wide (brak organizacji w ogóle nie jest przesądza; Ostatn...
Wytławi anonimową formę talent-alert
CareersPublicController's POST /'orgRef'/alerts to ten anonimowy, nieauceptatyczny punkt końcowy W tej usłudze, która wysyła wiadomość e-mail na każdym przyjęty...
UpdateDocType wymaga teraz typu dokumentu, aby należał do własnego org dokumentu
ImageService.updateDocType załadował cel ImgDocType przez UUID w pojedynkę; wymagajEdytualneAndOwned Dowodzi, że dzwoniący może edytować Img, ale nie mówi nic o...
Org-scoped odpowiedniki dla zapytań kandydatów do wypełniania miniatury
DocsService's /backfill-thumbnails admin punkt końcowy wybranych kandydatów spośród (platforma w całej skali, żadna predykat organizacyjny) lub W ostateczności,...
Policz niepotwierdzone rzędy zalerowani talentami orgnata, aby uzyskać czapkę anonimowej formy
Publiczne punkty końcowej DocsService dla talent-alert Subskrypcyjny wysyła e-mail z potwierdzeniem na każdym Przyjęty połączenie, bez ograniczeń co do liczby n...
Test połączenia IMAP/SMTP nie może być użyteczny jako sonda sieciowa
POST /api/email/mail/member-imap/test i /-id-/imap/test podłączony do dowolnego hosta i portu Osoba dzwoniąca dostarczona i zwróciła surową wiadomość wyjątkową....
Alias, domenie i osobiste mailboxy amenowe muszą prawo do zarządzania
tworzenie/usuwanie na alias e-mail, - na domenach wysyłania org, I - na osobistej (samozaapatrzonej) skrzynce pocztowej, wszystko to wymagało tylko Sesja — lub ...
Skrzydki pocztowe i aliasy członka są czytelne tylko w ich własnej organizacji
GET - nie wziął w ogóle HttpServletRequest — bez sesji, bez org Sprawdź w dowolnym miejscu na ścieżce - i GET - sprawdził, czy CALLER Miał sesję, ale przeszedł ...
Eksport lub import kalendarza musi być taki, który dzwoniec może faktycznie otworzyć.
GET /export/kalendarz/Aalendar i POST /import/'calendarId' same WYZNY - nie HttpServletProśba, więc nie ma sesji, żadnego org lub kontroli przez członków. Każdy...
Brać API w aplikacji, nie tylko na ekranie
Strona ustawień i opcja nav zaznaczają organizację.HostedComputers, I do tej pory to była cała brama. AppAvailabilityInterceptor nigdy nie ma zmapowany /api/sec...
Komputer hostowany nigdy nie jest automatycznie dostarczany
Hostowane komputery były osiągalne zarówno przez automatyczne ścieżki rezerwowania, jak i Ktoś umieściłby go przed każdą organizacją na platformie od razu. Fea...
Trzy szablony, które nigdy się nie zobowiązały
service-template.yaml, cloud-init.userdata.yaml i cloud-init.networkdata.yaml. Zostały one zapisane w Drugie dzieło i zaangażowane od żadnego z nich – wcześniej...
SearchService oznacza jego wtrysk ikona, więc usługa się rozpoczyna
9809d4b dał SearchService drugi konstruktor (zegar, do testów) i Oznaczenie ani nie, więc Spring nie wybrał ani jednego, nie szukała argumentu. Konstruktor, a k...
Każdy folder skrzynki pocztowej jest działa, a wyszukiwanie jest przebudowane
Przełączanie skrzynek pocztowych. Szbarwnik boczny folderu zawsze ładował OWN członka Drzewo folderów, niezależnie od skrzynki pocztowej, które były otwarte - w...
Wyszukiwanie, które honoruje jego zapytanie i każdą akcję poczty na skrzynce pocztowej, która jest otwarta
Dwa problemy na tematyce, ustalone w serwisie. Wyszukiwanie nie działało. Ścieżka indeksu rzuciła ClassCastException na każde trafienie (Instantt -> Timestamp,...
Shared-mailbox - potrzebujesz prawa kierowniczego
- na /api/email/shared-mailboxes potrzebne tylko a Sesja — każdy uwierzytelniony członek może utworzyć współdzielone skrzynkę pocztową, usunąć ją lub przyznać s...
Zastosuj kontrole per-party / wydane / wcisne wszędzie, aby ścieżki byte-adjacentowe, potrzebują ich
- zastosował wywiadomy kontroli dokumentu, ale nie na partię (ACCOUNT_MEMBER_VAULT/LOAN) lub sprawdza trashed-row, które /load, /stream i rodzeństwo /templates/...
Sprawdź RingCentral webhooks przed ich zaufaniem
Rozkład wywoławny RingCentral / striptiksy SMS zostały przetworzone z zerową weryfikacją: WebhookController przekierowany telefon / wydarzenia w sklepie z wiado...
Token stanu OAuth to rekord po stronie serwera, a nie blob przeglądarki, z powrotem
/api/email/oauth/callback i ? są publiczne i pozbawione sesji (ang.). Dostawca przekierowuje przeglądarkę tutaj bez sesji Kamo), więc „państwo” było jedynym mie...
Udział w dokumencie dociera teraz do odbiorcy, a edycja jest zamknięta
Porównany ImgShare by ImgShare. — SHARER, który Stworzyli wiersz, aby mogli wymienić to, co dzielili (getSharesByImage) - zamiast ImgShare.swMember, "wspólny z"...
Odpowiedź cytując kontakt nazywa kontakt, a nie właściciel połączenia
Kontakt społeczny nie ma wiersza członkowskiego, więc wszystko, co wysyłają, jest przechowywane pod połączeniem. Posłem. Historia odczytała już takie nazwy jak ...
Ponowne sprawdzenie luzu podczas renderowania elementów dokumentu segregatora
BinderItem przypina img row, z którego został zbudowany w czasie montażu. BinderRenderer.renderDReeded Abym był prosto do - bez żadnego czeku dla członka W rzec...
Od nadpisu musi być adres, które rozmówca może wysłać jako
POST /api/email/wysyłanie żądać.OdadadadadPodadasz() prosto do nagłówka Z i SMTP Nadawca koperty -> EmailSmtpService.send, i tak samo Przepisuj w SmtpOnlyProvid...
Rozmiar nasadki i jednoczesne konwersje na nieuwierzytelnionych punktach końcowych rurociągu
POST /convert-vector i WS / / Prychlina nie przyjmują auth (zobacz raport towarzyszący temu commitowi, dlaczego To nie jest tutaj ustalone) i do tej pory przecz...
Projekta czytana w społecznościowej odmówiła każdej sesji towarzyskich, a nie tylko cross-org
Regresja w f7b2bd5, na żywo na kamowsmedia. canReadSession (MediaController, Przyznano, że zostanie skopiowany do SessionFacesController i ChatSessionMembersCon...
Przestań ufać dowolne https://api.
k8s/Docs-deployment.yaml's aliasgroup1 to 'https://api'..'. Docs's alias matcher (RegexDopóki:getValue, std::regex_match) wymaga tylko, aby pasował autorytet ka...
Media podpisany URL nie były szerzone do orgii dzwonionego
GET /api/kb/media/mediaId/url wyglądał sam na rzędzie (KbMediaService.getPresignedUrl -> W przeciwieństwie do innych Media czytane tutaj (presignAll, getMedia -...
Sygnalizacja WebRTC, zarządzanie webinariami i harmonogramy Canva przestają ufać, że dzwonią
Trzy kolejne o tym samym kształcie. - WebRTCSignalingController przekażony prosto do - używając tylko ładunku Własny sesyjnyWyjść, bez nic sprawdzonego na ...
Nawiązania czatu bramowego, wiadomości głosowe i nagrania połączeń o więcej niż org+clearance
MediaService/telephony store chat attachments (CHAT_AT_ATTACHMENT) i nagrania poczty głosowej/call (VM_RECORDING, CALL_RECORDING) na ACCESS_LEVEL 0. Każda ogóln...
Do karty członkowskiej można dotrzeć z klawiatury
Karta jest nacieli na koniec .body, więc w kolejności dokumentu następuje po całej stronie: członek Który otworzył go z nazwy z Enter lub focus i naciskał Tab, ...
Żadna praca nie nakłada się na siebie, a żadne połączenie HTTP nie może powiesić pracownika na zawsze
Kwarc tutaj działa 10 wątków pracownika pamięci na jednej repliki. 17 z 24 miejsc pracy nie miało DisallowConcurrentExecution, więc bieg, który przeraniał jego ...
Liczniki przyjęć ołowiu dołączają do księg, w tym dziewce demona fałduje i przelicza
Liczniki otrzymujących / importowanych punktów wlotowych są teraz kiełkami (usługa bezpieczeństwa create_lead_intake_ledger.sql, stosowane 2026-09-22): spust na...
Punkty końcowe dojdania pokazują dokładną liczbę otrzymanych / importowanych z księgi przyjęł
Lista ustawień Lead Intake pokazała total_received / total_processed / last_received_at prosto z powrotem Rząd punktów końcowych, w którym zostały uderzone raz ...
Liczniki punktów końcowych pochodzą z księgi i przestań przegrywać aktualizacje
/ total_processed / last_received_at zostały uderzone na punkcie końcowym Sam wiersz: raz na ładowność przychodzącą (5/5/s) podczas importu gospodarstwa rolnego...
Odmowa odradzaj się STDIO dla nienotowanego konfiskata i odmówienia połączenia SSE / HTTP z siecią klastrową
Obrona w głębi wzdłuż zobowiązania AIService, które zamyka brakujące prawo AiMcpController Kontrole i odmowa STDIO u źródła: ta usługa jest tą, która faktycznie...
Konfiskaty MCP potrzebują MANAGE_AI_SETTINGS, dostawca / MCP urls nie może dotrzeć do klastra, polityka kwotowa jest egzekwowana
Trzy niezależne ustalenia, ustalone razem, ponieważ dwa pierwsze udostępniają pliki i klasę. 1. AiMcpController miał zerowe kontrole prawej strony w zakresie t...
Sesja odczytuje, mutacje biletów i klucze publiczne, przestają ufać, że dzwoniącze
Cztery powiązane otwory, wszystkie te same kształty: żądanie zawierało uwierzytelnione Członek, a to było traktowane jako wystarczająco. - SessionFacesControll...
Zwiąż każdy punkt końcowy WOPI do dokumentu, jego token został wybity za
CheckFileInfo był jedynym punktem końcowym WOPI, który porównał token dostępu. dokument przeciwko ścieżce żądania i ponownie sprawdzony dostęp na żywo; GetFile,...
Ścieżka sesji przeszukuje własny org dzwonicza, nigdy organ żądań
RagSearchController read orgId/memberId/memberType z ciała JSON na każdym Ścieżka, w tym prośby uwierzytelnione przez sesję, a nie X-wewnętrzny Auth. Podpisany ...
Daj sonie kompresji postbuild więcej czasu na rozpoczęcie serwera.
Budynie Dockera mogą nadal się osiedlać po zakończeniu oddowcio; rozszerzyć prąd i sondę czekają i na powierzchni dziecka, gdy startup zawiedzie.
Opuść pływające logo o 3px.
Zredukuj NAV_LOGO_RISE z 10 do 7, aby znak usiadł nieco niżej, zachowując współdzielony chromowaną matematykę w synchronizacji.
Zatrzymaj podwójne liczenie banerowej wysokości na stronach drugorzędnych.
Body już rezerwuje pasek podglądu; główna wyściółka teraz oczyszcza tylko wiersz nav i zwis, dzięki czemu wewnętrzne strony nie układają drugiego chromowanego p...
Przesuń pływające logo poza nagłówek zawierający blok.
Filtr tła na uwięzionej pozycji nagłówka: ulepszone dzieci tak najwyższe i przesunięcia marginesu nigdy nie przesunęły znaku; zamiast tego przypną go do widoku.
Przesuń pływające logo w górę z marginTop zamiast górnego calc.
Dynamiczna górna kalkania nie przesuwała znaku; lustrzana nav-row zginana trąby i podciągał go 10px z marginesemTop.
Przypinę pływającej górnej krawędzi logo, aby uzyskać niezawodne pionowe przesunięcie.
Przestań polegać na tłumaczeniu (-50%), który nie przesuwał wyrenderowanego znaku i umieść logo 10px nad centrum nav.
Jak to, co widzisz żeglugę?
Wszystko to pojawia się w twoim miejscu pracy na własną rękę. Zacznij od bezpłatnego planu i przeczytaj tę stronę ponownie w miesiącu.