- Navios
- 23 de setembro de 2026 às 02:16 UTC
- Autor
- Kamo
- Enviar
- aa86da7
GET /api/kb/media/{mediaId}/url pesquisou a linha apenas pelo UID (KbMediaService.getPresignedUrl -> **************************** diferente de todos os outros media ler aqui (presignAll, getMedia -> **************************** Qualquer membro que detenha VER KB ARTICLES em sua própria org — um direito comum, e o KBService's hasRight falha fechada, mas isso nunca foi o portão que importava aqui — poderia cunhar uma hora pré-assinado MinIO URL para qualquer outro mídia do org por uid, sem verificação org em qualquer lugar na consulta. A regra agora: o mesmo método org-scoped procurar cada irmão já usa. Teste: KbMediaServiceOrgScopeTest, verificado em vermelho contra o método pre-fix (uma asserção simplesJogar não foi suficiente — uma simulação não esboçada também responde Optional.empty(), então o teste adicionalmente verifica o método org-scoped repositório foi o que realmente chamado).