- Navios
- 23 de setembro de 2026 às 12:35 UTC
- Autor
- Kamo
- Enviar
- 80ec053
Cinco lacunas permitem que um membro assinado alcance fora de sua própria organização, ou alcançar um conta do colega, sem verificação certa: - Está bem. não resolveu nenhuma sessão. O portal forwards /api/security/** sem autorização própria, portanto, qualquer pessoa que tenha um papel UUID poderia reescrever ou eliminar os direitos de qualquer organização. createRole resolveu uma org mas não Assim, qualquer membro pode pré-carregar um novo papel com direitos arbitrários. Todos os três agora. Exigir CONFIGURO SISTEMA (ou uma janela de deus aberta) e, para atualização / apagar, que o papel pertence ao órgão do chamador — a mesma regra DepartamentoController e JobTitleController já impor em seus próprios caminhos de escrita, na mesma página de configurações essenciais. - Está bem. nunca resolveu a organização do chamador, assim, um proprietário de org A poderia definir o nível de acesso de org B ou status de proprietário por ID de membro sozinho; getMemberAccess verificado apenas que uma sessão existiu. Ambas as áreas de acção ao org do chamador (o getMemberAccess mantém a sua largura anterior para um mesmo org lido). atualizarMemberAccess também leu uma chave de sessão ("MID") que o KSessionService nunca escreve, Então, cada chamada real lançada e 500'd antes de alcançar o velho código vulnerável ou a nova verificação; fixada na mesma edição para que a correção org-scoping seja realmente alcançável. **************************** (kamo-compartilhado-biblioteca, já empurrado) recebe o mesmo verificação de organização como defesa em profundidade. - Está bem. deixe qualquer membro do mesmo-org reescrever ******************* sem controlo certo — USUÁRIO IDENTITY FIELDS cobre somente os campos que vivem na conta do Usuário (nome/DOB/phonetic), e estes vivem em Membro em vez disso. members.email duplica como um identificador de login e recuperação de senha **************** e o fluxo de recuperação de e-mails o link reset para qualquer endereço foi TIPODO no formulário em vez do endereço da própria conta, então este foi um caminho para redirecionar onde a senha de um colega redefinir link é entregue. Gated em isSelf , é GESTÃO MEMBER SECURIDADE, espelhando o próprio selfOrSecurityAdmin de kamo-internal gate no nome de usuário do irmãoAlias campo. - LeadCreditController /créditos/distribuições e /créditos/alocações teamMemberId but loaded sellerId/vendorProductId (e, no createLotment, market Id) por findById sozinho, então um UUID do catálogo de fornecedores de chumbo de outra organização ou a configuração do mercado funcionou bem como a própria pessoa que ligou. Mesmo teste de qualidade de org como o caso do membro da equipa (através da organização do vendedor; um produto através do seu vendedor; mercado através de sua própria organização), mesma resposta 404. Uma classe de teste por superfície, cada uma com uma caixa que falha sem a sua fixação (mutação- verificado: revertido, confirmado vermelho, restaurado) mais um caso de sucesso do mesmo-org tão legítimo chamadores que passam pelos ecrãs internos do kamo real (a página de funções essenciais da configuração, as abas de segurança/acesso do perfil do membro, Gerenciar Créditos) ainda têm sucesso.