- Змішані
- 9 серпня 2026 р. о 03:03 UTC
- Авторизація
- Kamo
- Про нас
- b114fca
/api/billing/accounts об'єднує список за допомогою X-Org-Id header, але кожен маршрут beneath /{accountUid} взяв id прямо з шляху і ніколи не перевірили, хто його володів — 24 обробники зміна тарифів, кількість місць, анулювання, способи оплати та учасників підписки. Будь організація може читати або переписати інший організаційний рахунок й Послуга є кластером і тільки досягається через камо-внутрішня проксі, тому це потрібно сеанс, а не кластерний доступ: проксі прикріплює X-Org-Id з цього сеансу та переадресації Який шлях його піддається. Перехоплювач замість 24 редагувань, тому маршрут, доданий пізніше, покривається за замовчуванням — попередній розташування була однією бездіяльністю в кінцевій точці. Режим Бога проходить через, так як платформа адміністратора діє по відношенню до orgs є одним дзвоником, для якого є законним, і ненадійним обліковим записом id залишається для обробник так це може відповісти 404. Не додаючи фінансової перевірки тут. Плани та вкладка Billing закріплюються на «Це мені, або я власник організації», не направо, так що вимагали MANAGE ORG FINANCES бажали заблокувати кожного окремого учасника з власної підписки. Налаштування, що знаходиться в межах правила - це окреме питання про те, хто може змінити підписку, і воно повинно бути прийнято, ніж здогадувати. 7 тестів охоплюють ворота; 89 проходять загальний.