- Expediere
- 26 august 2026 la 05:17 UTC
- Autor
- Kamo
- Comite
- 6a6662a
Fiecare obiectiv care a acceptat un AIRW OWN * drept ca un OR-alternative încărcat sale să înregistreze numai cu cheia primară, fără să verifice niciodată cui aparţinea: obţineţi Abonare; Obțineți AbonareOrdin, obțineți AbonareEvenimente, obțineți facturare, obțineți Abonare Acord orgId a fost citit pentru 401 și niciodată utilizat Din nou. Un apelant care deține doar dreptul clientului ar putea citi orice abonament, comanda, factura sau acordul pe platformă, având în vedere UUID-ul său. Punctele finale care acceptă doar VERY OWN * chiar singur (get MySubscriptions, Obțineți comenzile MySubscription, obține facturile mele, obține acordurile mele) deja derivat membru al sesiunii și au rămas neatinse. acceptă acordul deja trece membruId la serviciu și a fost lăsat neatins din același motiv, chiar dacă serviciul în sine nu verifică dacă destinatarul deține fondul abonament -- acel decalaj trăieşte în SubscriptionService, din acest fişier ajunge, și este remarcat pentru follow-up mai degrabă decât fixat aici. AbonamentRecordDTO, AbonareOrderDTO și AbonareInvoyDTO expune ClientMemberId direct, astfel încât cele patru criterii finale filtru după aducerea de Comparând-o cu membrii sesiunii de apelantului. AbonareAcordAcord cu expunerea nici membru, nici proprietar direct -- doar organizaţieId şi uid abonamentul căruia îi aparține -- astfel încât cele două criterii obiective ale acordului să fie rezolvate dreptul de proprietate prin încărcarea abonamentului respectiv și verificarea clientului acestuiaId În schimb. 404, nu 403, privind o neconcordanţă de proprietate: o 403 ar confirma numele UUID a Record real într-un alt chiriaș, care este ea însăși o dezvăluire. Numit contraexemplu în propriul invariant 6.