- Shipped
- 5 august 2026 la 07:24 UTC
- Author
- Kamo
- Commit
- c7cb180
Analiza adversarală a 6df0008 a confirmat 24 de constatări. Cele importante: CRITICALE Orice membru poate şterge corespondenţa unui coleg. Mesajele vocale ale echipelor erau compus ca " {caseta de mail} Id- ul furnizat de apelant şi a folosit cutia poştală jumătate verbatim ca / users / {caseta poştală} pe Cererea de org token ă căsuţa poştală+messagePărerile Id au fost date de GET/instances/{id}/vocemail-uri, aşa că nici măcar nu a fost un joc de ghicit. Cutia poştală este acum rezolvată numai de la chemare. propria conexiune Microsoft și nu poate fi derivată din nimic un client trimite; lucrare telescopică (sincronizare, sănătate) rezolvă nici o cutie poștală și citește nici una. Asta De asemenea, se oprește sincronizarea de urgență de mers pe jos cutia poștală a fiecărui coleg pe jetonul aplicației. Dropping căsuţa poştală de la ID repara încă două defecte confirmate gratuit: Id-urile au fost ~190-040 cars împotriva unei coloane VARCHAR (128) (fiecare persistă eșuat) și " arhivați și ștergeți nu a ajuns niciodată la server. Id-urile de extensie trec la '~' pentru acelaşi motiv, iar sufixul de rutare al echipelor (+1425...;ext=1234, 21 cars) este acum Decorat pentru a se potrivi VARCHAR NUMBER (20) în loc de a nu se sincroniza. Istoricul apelurilor a fost în tăcere gol pentru majoritatea membrilor. GetPstnCalls este o Hrană pentru animale la nivel de chiriaș fără filtru per utilizator, iar codul a limitat oferta la 2000 Rânduri ÎNAINTE de filtrare, astfel încât în orice chiriaș cu mai mult de ~2000 PSTN apeluri în 90 de zile Capacul a fost consumat de rândurile altor oameni. Filtrarea se întâmplă acum în timpul paginii şi se opreşte imediat ce pagina solicitată este plină. Înălţime mare excursii secvenţiale în grafic împotriva unui buget de recunoaştere de trei secunde. Trecut 15% răspunsuri lente în zece minute Graficul marchează criteriul final "scădere" și aruncări înapoi în mare notificări pentru zece minute. Validarea rămâne în linie; munca trece la o Executor de apel limitat. SHIG persoana care completează sign-in, astfel încât un membru ar putea mana URL-ul lor conecta la un Colegul şi sfârşesc cu identitatea echipei colegului pe propriul rând. Self- Conectați-vă acum necesită semnătura Microsoft pentru a se potrivi cu e-mailul Kamo al membrului; Conectarea în numele cuiva rămâne permisă şi este înregistrată în stat. Înălţime GET sau pus, și nimic în amonte furnizat unul: un IDOR cross-tenant peste fiecare VOIP config membru, inclusiv acum lor Entra obiect id. Pre-existent, dar acest lucru comite este ceea ce a pus o identitate în acea sarcină utilă. De asemenea: Echipa are nevoie de reconectare Excepţie returnat 500 în loc de 409 pentru aşteptat Starea "nu este conectată încă"; criteriul de evaluare ACS a fost nevalidat de către operator, configurând că Tokenul de apel delegat a fost trimis (în prezent fixat în sistem și gazdă); concomitent ar putea orfan un abonament grafic împotriva 100-per-org cota; și acsEndpoint este redactat deoarece operatorii lipesc conexiunea intreaga şiruri în ea. Verificat: mvn test .