- Shipped
- 5 сентября 2026 г. в 07:25 UTC
- Author
- Kamo
- Commit
- 5355b88
Два дефекта на конечных точках /settings/integrations/member, как живые, так и оба достижимо любым подписавшимся членом. Идентификатор был единственным контролем доступа. Каждая конечная точка /member/{id} Интеграция id прямо с пути и не просил ничего другого, так что член может обновить строку другого участника - включая перезапись учетных данных на нем - Удалите его, протестируйте или опубликуйте синхронный триггер для него. UUID не является проверка авторизации: идентификаторы путешествуют в журналах, потоках поддержки и истории браузера, и адресованная строка содержит учетные данные почтового ящика. В настоящее время врата все четыре, отвечая на 404, а не на 403, так что обращение к чужому ряду делает не подтверждает его существование, и регистрирует попытку, потому что реальная либо Сломанный клиент или кто-то ходячий. Строка уровня ORG никому не принадлежит. никогда не является членом собственной, что имеет значение, потому что это ряд, держащий все Грант организации OAuth. И ответы членов по-прежнему возвращали сущность. cbc238a получил учетные данные из двух конечных точек ORG и оставленные четыре участника возвращают его, который является один и тот же зашифрованный сгусток в одних и тех же телах ответа, кэшах браузера и журналах прокси - просто на пути, на которые я не смотрел. Все четверо проходят через один и тот же вид. сообщать только о том, есть ли в файле учетные данные. Экран, который их называет, сегодня недостижим (ничего не импортируется). PersonalProviderSection, и он запрашивает GET /member / [id], который не отображается. Ни один из дефектов не был устранен. Это не повод уходить из одного: Конечные точки отображаются, аутентифицируются и обслуживаются.