- Navios
- 2 de agosto de 2026 às 18:38 UTC
- Autor
- Kamo
- Enviar
- 2f182ed
O manipulador tomou um HttpServletRequest mas nunca o usou, carregando o comentário "Nenhuma autorização necessária — endpoint interno de manutenção da administração". Relés do APIService /api/docs/** sem autenticação de gateway e DocsService permite pedido, então este foi um gatilho anônimo, acessível pela internet para uma varredura que lê bytes de documento pertencentes a cada inquilino através de um findAll não vigiado. Cerca de dezoito outros manipuladores neste controlador já resolvem um chamador via extrairKToken (pedido); este foi uma omissão, não um design. Adiciona o primeiro teste para este serviço. A varredura fica deliberadamente em toda a plataforma. Restrição ao pessoal da plataforma precisa de um sinal de Deus-modo aqui e pertence com a autorização de negação-por-default Trabalho.