- Shiked
- 23 Eylül 2026 01:49 UTC
- Yazar
- Kamo
- Commit
- f7b2bd5
Dört ilgili delik, aynı şekli: Bir istek gerçekleştirilmiş bir şekilde taşıyordu Üye ve bu yeterince tedavi edildi. - ******************** OturumFacesController.faces Ve ************ bir seansın servisini yaptı Transkript, yüzler, roster veya makbuzlar ANY otantik bir üyesi ANY org, hiçbir üyelik kontrolü olmadan. Aynı üyelik kapısı eklendi **************** zaten kullanır, artı bir tane Yasal olmayan bir durum: bir DESTEK TICKET'in isteği veya atama, Görevli veyag'in kendi destek personeli (mirors Support.Service). getTicketDetail'in mevcut kuralı. SYSTEM BUG ve EXEC2EXEC hiçbir şey yok Ekstra: kamo-internal asla bu uç noktalardan okumaz (confirmed Uygulama/api/support/system-bugs ve app/api/support/exec2exec) karşı, bu yüzden bir Düz üyelik reddedilmesi doğrudur ve bu kontrolörü bu kontrolden uzak tutar Re-deriving SystemBugThreadService's muhabir redaction. GetMessages'ın “limit’i şimdi 1.100'e yükseltilir; <=0, düşmek için kullanılır Tüm tarihin sınırsız bir okuması. - MediaController.createMessage, herhangi bir müşteri tarafından “imgId’i” kabul etti Basit bir imgRepository ile ek döngü. FindById ve hiçbir mülkiyet check – Img ids yoğundur, bu yüzden platformda herhangi bir dosya (loan docs, hasta Grafikler, küçük yüklemeler) saldırganın zaten olduğu bir sohbete eklenebilirdi Daha sonra mesajdan geri okunabilir. Şimdi Img'in ait olması gerekiyor Göndericinin kendi organizasyonu ve ya da bu seansın kendi ülkesi olarak kaydediliyor Ek (assocId=CHAT ATTACHMENT, assocObject Id=the session guid – see ChatAttachmentService#attach) veya gönderileyici tarafından yaratıldı kendileri. Aynı yöntem, daha önce daha önce, önceden belirlenmiş olan / SOSYAL şubeleri. Ziyaretçilerin ve sistem üyelerinin kapladığı teoride herhangi bir üyeye açık Onlar, şimdi bilet/org ajan erişimi veya bağlantı-org üyeliği gerektirir - anonim ziyaretçiler asla bu uç noktaya ulaşamadılar; onlar posta yoluyla PublicChatController'in kendi, ayrı ayrı ayrı rotası. - **************** ve her şey WebChatIntegrationController handler sadece "bazı org'a teslim edildi" kontrol etti. Şimdi sağ kamo-internal'in kendi ekran kapısını gerektirir (MANAGE ACCESS RULES for API keys, MANAGE CHAT SETTINGS for the widget), Ve halk-çak-key kapsamı aynı izin listelerine karşı onaylanmıştır APIManager.tsx teklifleri - el-crafted kapsamı (e.g. API SIGN formları, hangi esigservice'in kamu e-sign API kendi başına kabul ediyor) şimdi reddedildi Depolama fiilatim'den daha fazlası. - SupportsService's **************** mutasyonlar, çağrıcının AC Meeting SUPPORT TICKETS veya MANAGE SUPPORT in THEIR OWN organization, asla biletin değildi Kendi atanmış veyag – bir destek lideri veyag A’nın çözebileceği bir destek, reassign veyag B'nin biletini id tarafından tırmanın. require Access aynaları TicketDetail: İstek veya, atanmış veya kendi destek personeli. StompDestinationAuthz şimdi gardiyanlar /toplayıcı / destek / agent/{memberId} Aynısı Buradaki her diğer per-member konusu (subscribe: üye-equality sadece; Gönder: Doğru reddetti, eşleşen DestekStompRelayController olmak Sadece meşru yazar). Testler: Destek ************ Yeni kuralları doğrudan doğrulayın (mutasyon Doğrulanmış: neutering **************** bu 5'i bu şekilde döndürür red); StompDestinationAuthzTest ve **************** Kapak kapağı STOMP muhafızı ve güncel arama siteleri. Tam 'mvn testi' yeşil (1023 test) bu taahhütten önce.