- Navios
- 9 de agosto de 2026 às 03:03 UTC
- Autor
- Kamo
- Enviar
- b114fca
/api/billing/accounts examina sua listagem pelo cabeçalho X-Org-Id, mas cada rota abaixo /{accountUid} pegou o id diretamente do caminho e nunca verificou quem o possuía — 24 manipuladores cobrindo mudanças de plano, contagem de assentos, cancelamento, métodos de pagamento e membros da assinatura. Qualquer membro de qualquer organização poderia ler ou reescrever outra organização faturando nomeando sua conta id. O serviço é ClusterIP e só acessível através do proxy kamo-internal, então isso precisava de um sessão em vez de acesso ao cluster: o proxy atribui X-Org-Id daquela sessão e encaminha Qualquer caminho que seja dado. Um interceptor em vez de 24 edições, então uma rota adicionada mais tarde é coberta por padrão — a anterior o arranjo foi uma omissão por desfecho. O modo Deus passa, já que um administrador de plataforma atua através de orgs é o único chamador para quem isso é legítimo, e um id de conta irresolvível o manipulador para que possa responder 404. Deliberadamente NÃO adicionando uma verificação financeira-direita aqui. A conta dos Planos e da Conta está fechada. "é este eu, ou eu sou o proprietário da organização", não à direita, então exigir MANAGEM ORG FINANCES Bloquear cada membro comum fora de sua própria assinatura. Obrigando esse servidor de regras no interior do org é uma pergunta separada sobre quem pode mudar cuja assinatura, e deve ser decidido em vez de Adivinha. 7 testes cobrem a porta; 89 passar em geral.