- Порезанный
- 7 июля 2026 г. в 20:39 UTC
- Автор
- Kamo
- Обещать
- 5a817ed
Две связанные дыры в авторизации заемщика на конечных точках приложения самообслуживания: - Эскалация привилегий (#2): patchLoanFile применял любой статус проверка прав абонента, поэтому заемщик (сторона собственного приложения, нулевой оператор) Права) могут подавать заявку на получение кредита {statusId:8} для маркировки своего кредита FUNDED (или Проверено / CLEAR TO CLOSE Теперь неоператор может только продвигать DRAFT APPLICATION TAKEN (предложение); любой другой статус является только оператором. - Замок редактирования после представления (#4): требуетсяWrite (req, uid), авторизованный любой стороной писать в любом статусе, чтобы заемщик мог продолжать мутировать данные URLA удостоверение личности, доход, активы, декларации), в то время как файл был в Обработка/андеррайтинг, молча расходящиеся записи. Заемщик пишет Gate теперь также требует, чтобы кредитный файл по-прежнему был DRAFT. Не затронуты (они короткие замыкания) и не затронуты чтения. Загрузка документов жить на другом контроллере и оставаться доступным после подачи.