- Порезанный
- 9 августа 2026 г. в 03:03 UTC
- Автор
- Kamo
- Обещать
- b114fca
/api/billing/accounts расширяет свой список заголовком X-Org-Id, но каждый маршрут ниже [accountUid] взял идентификатор прямо с пути и никогда не проверял, кто им владел — 24 обработчика покрытие изменений плана, количества мест, отмены, способов оплаты и подписчиков. Любой Член любой организации может читать или переписывать счета другой организации, называя свой счет. Ид. Сервис является ClusterIP и доступен только через внутренний прокси-сервер kamo. сеанс, а не кластерный доступ: прокси прикрепляет X-Org-Id с этой сессии и пересылает Какой бы путь он ни прошёл. Перехватчик вместо 24 правок, поэтому маршрут, добавленный позже, по умолчанию покрывается. Это было одно упущение на конечную точку. Режим Бога проходит, поскольку админ платформы действует В оргах это единственный абонент, для которого это законно, и неразрешимый идентификатор учетной записи оставлен на Обработчик может ответить 404. Умышленно не добавляйте сюда чек на право финансирования. The Plans and Billing Tab находится на «Я ли это я, или я владелец организации», а не справа, поэтому требование MANAGE ORG FINANCES Заблокировать каждого обычного участника из их собственной подписки. Внедрение этого правила на стороне сервера Это отдельный вопрос о том, кто может изменить подписку, и это должно быть решено, а не Догадался. 7 тестов покрывают ворота; 89 проходят в целом.