- Name
- lúc 08:54 23 tháng 9, 2026 UTC
- Tác giả
- Kamo
- Cam kết
- da4e9f3
Tìm ra 2-6 từ kiểm tra hệ thống điện thoại, cố định cùng nhau bởi vì một số tập tin chia sẻ. 2. CÂU HỎI — Bộ phận cảm biến không có quyền kiểm tra bất cứ điểm cuối nào Bất kỳ thành viên đã ký nào của trang web org, không chỉ là VOIP Quản trị, có thể tạo, xoá hoặc chỉ lại thông tin về máy chủ điện thoại. Bây giờ yêu cầu Các cuộc họp, cùng một thiết lập -> Tính năng -> Điện thoại tự mở. Ngoài ra: nền tảng Url/baseUrl đã không được điều chỉnh, vì vậy một thành viên có thể chỉ bạc hà của RingCentral (mà gửi trình khách thực sự của orgId/ kfmclientScret + JWT) hoặc một trình khách FreePBX BQL tại một máy chủ của sự lựa chọn và bắt giữ, hoặc đến được mạng lưới kén (Redis/MinIO/Yugabyte tất cả Câu trả lời không xác thực, không phải mạng lưới. Cố định với điện thoại ServerUrl Guard: RingCentral là Bây giờ giới hạn cho hai máy của nó (sản xuất/ hộp); FreePBX có được chỉ công cộng chung Kiểm tra SSRF được xây dựng trên đội bảo vệ công cộng của kamo-Shared-Sharry's PublicHost Guard (cũng là của SecurityService nguyên thủy An toànSiteFetcher và ai Service's OutboundUrl Guard sử dụng). Cả RingCentral Jwt TokenService và Bộ nhớ tạm của FreePBX TkenCache đã được mở khóa mà không có vật chủ, nên một vật lưu giữ mang đầy đủ chống lại vật chủ thực sự sẽ tiếp tục được gửi đến một máy mới sau khi nền tảng Url/cơ sở sửa chữa -- cả chìa khóa bộ nhớ tạm bây giờ bao gồm cả nó. Sự kết hợp không còn cho phép đeo mặt nạ "** bí mật đi theo Máy chủ mới (phải nhập lại), không bao giờ hợp nhất tài khoản Id/rem của KamoPBX từ một trạm khách, và kết nối kiểm tra / đồng bộ thủ công không còn lặp lại một thông điệp ngoại lệ thô (mà có thể mang máy đích về nhà. Telnyx's apiKey thêm vào Bí mật. 3 điểm sáng. Mục tiêu ở trong máy gọi. org. Bất cứ thành viên đăng ký nào cũng có thể chuyển sang CLEEGUE và SipSipler.getSipCredentials trở lại bất cứ phần mở rộng nào được chỉ định -- a Tài khoản cùng một org chiếm lấy nguyên thủy, không chỉ đơn thuần là IDOR. Bây giờ yêu cầu nhân lực hoặc Các cuộc họp vô điều kiện, phù hợp với các thiết lập UI nhận xét rằng mở rộng Nhiệm vụ là quản lý và không bao giờ phục vụ bản thân. exampleId bây giờ cũng được kiểm tra chống lại các Người gọi của org -- trước đây một máy chủ điện thoại từ một tổ chức khác có thể được đặt tên và, nếu Một trong những phần mở rộng của nó là chưa được chỉ định. 4. (Tiếng tạo/ cập nhật/ ngôn ngữ) Thử nghiệm/send/send), VoipDevices Grixler, VoipUsersCuxler, VoippentensGler, VoipOrgAgregate Veuler, OrgPhoneNuber, MberPhoneNumpler. Đa phần là bây giờ. yêu cầu bên phải màn hình kamo-i nội bộ chính nó là cổng vào (MANAGE VIP STING Name Nhiệm vụ mở rộng). Name nhóm Việt hoá KDE Nhận được cùng một cuộc gọi kiểm toán tiết kiệm dữ liệu. Bulk Một tin nhắn độc quyền mà không có sự đồng ý hoặc cổng giảm áp -- giờ nó từ chối (409) một số có mới nhất TCPA SMS ConsentRecord là OLOKED, đọc SmsKeyROMService đã viết trên tất cả các trạm dừng chân/ cớ, người thuê- kính vì vậy một trạm dừng cho một khác org không bao giờ ngăn chặn điều này Một. Thành viênPhoneNumberCuler là một ngoại lệ cho "admin right want, chấm": không giống VOIP Nhiệm vụ mở rộng/ghi nhớ (tìm 3, không có đường dẫn dịch vụ tự phục vụ tại tất cả bởi sản phẩm rõ ràng quyết định -- bình luận của thiết lập uI cho biết như vậy, các thiết lập / bộ nhớ điện thoại Thành viên Văn bản Tiêu đề nghị mỗi trình xem điều khiển dịch vụ đầy đủ (như là ký hiệu/ xóa/ tạo ra-primary) Qua số điện thoại riêng của họ mà không có cổng chỉ có quảng cáo riêng -- trang đó có thể truy cập được trên ACCESS VOIP một mình, theo bình luận của riêng nó: "ACESS * bao gồm người dùng quản lý thiết lập của riêng họ; bao gồm * bao gồm Adam thay mặt thành viên." Vì vậy, người điều khiển này đã có một quy tắc tự-hoặc-hoặc-min thay vì Hình dạng hiện có: một thành viên quản lý Con số riêng của họ không có quyền đặc biệt; hành động trên một đồng nghiệp vẫn đòi hỏi MAENRETES hoặc MANAGE VOIP STES. Một quy tắc chỉ có manmin ở đây sẽ có 403'd tất cả các thành viên ACCESS VOIP-Chỉ trong một lá bài hoạt động hôm nay. 5. MERIUM — * SẼ SẼ chỉ số duy nhất trên ORG PHONE NUMBER là (org id, phone canon), không chỉ riêng (phone canon) (diliberately), vì vậy một số lịch sử có thể tồn tại dưới hai tổ chức theo thời gian) -- nhưng không có gì ngăn cản được việc tạo ra một SECOND org Hàng riêng cho một số đầu trang org đã được tổ chức tích cực, vì nhận được ()/ find ByNumber () có kính org và đơn giản là không tìm thấy hàng của người org khác. lưu () bây giờ từ chối tạo một hàng mới khi một org khác đã có một yêu cầu hoạt động trên cùng một số; phát hiện (mà hỏi nhà cung cấp bản thân, bằng chứng thực sự về quyền sở hữu) không bị ảnh hưởng. Thành viênPhoneNumberService được chỉ định/unasign/ setPrimary/ forMember xác nhận số Id chống lại org nhưng không bao giờ thành viên Id ở tất cả - cộng với quy định () thông qua văn bản để MberVipConfig (nhìn lên bởi thành viên ID một mình), một người gọi trong một org có thể chỉ ra một ngày thực sự của một ORG khác nhau gọi điện thoại của họ Cơ sở hạ tầng. Yêu cầu Bộ Nội Vụ là sự sửa chữa. 6. thấp (perf) — InsccccService lưu lại mỗi phần mở rộng/ người dùng/ khách hàng/ chứng nhận/ thư điện tử trên Mỗi lần rà soát với một ngày bị tai nạn, ngay cả khi nhà cung cấp báo cáo không có gì khác biệt -- - 23k có thể tránh được UpDATEs/day. Mỗi một trong bốn phương pháp đồng bộ bây giờ so sánh mỗi lĩnh vực trước khi viết Nó chỉ tiết kiệm khi có gì đó thực sự thay đổi. Thử nghiệm: Điện thoại ServerUrl GuardTest, * CAPER (TIẾNG CÒI) RingCentral Jwt TokenServiceTest (một trường hợp mới), FreePBXTokenCacheest, *Brace Test, * (TIẾNG CÒI) (TIẾNG CÒI) (TIẾNG CÒI) (TIẾNG CÒI) (TIẾNG CÒI) (tự phục vụ bản thân cho phép, xuyên ban) yêu cầu quyền quản lý, cả hai quyền đều được chấp nhận, *TIẾNG CÂU Chỉ thêm Quyền ♪ Đã xác nhận ♪ Bằng cách đánh giá mã và chỉnh sửa hoàn chỉnh hơn là một thử nghiệm tận tâm cho mỗi kiểm soát -- mẫu là Giống hệt nhau và đã được bao phủ bởi 2 người. Mỗi bảo vệ ở trên đều đã được kiểm tra đột biến (được kiểm tra tại địa phương, xác nhận phép thử khớp màu đỏ, phục hồi). Ba thử nghiệm đã có trước (TIẾNG CÒI) Chỉ cần gọi cho tôi, (TIẾNG CÒI) Trước đó, tìm ra 2 và xây dựng phiên chạy mà không có quyền hạn; họ bây giờ có bao gồm MANAGE VOIP STING Vì vậy, họ vẫn thực hiện các hành vi mà họ đã được viết ra (xem xét Thử lại, chỉ cần gọi ID nhận nuôi, JWT-shapeation) hơn là giảm kiểm tra mới trước. (TIẾNG CÒI) FreePBX cũng trao đổi vị trí giữ chỗ "pbx. example.com" cho IP theo nghĩa đen, từ khi kiểm tra cơ sở của Điện thoại ServerUrl Guard bây giờ thực hiện một kiểm tra DNS thực sự. Báo cáo cho điều phối viên: không có thay đổi giản đồ, không có thay đổi cấu hình, không cần thay đổi cổng. 6 phát hiện này (chỉ tìm thấy báo cáo 1 có 1 hoạt động tiếp theo). Xác nhận chống lại api Service: nó chuyển tiếp / api/voip/**, vậy nên tìm ra 2, 3, 5 và 6 không cần gì ở đó. Trình quản lý văn bản (tìm 4) đang ngồi ở / api/bulktext/ stances/**, dịch vụ api cố tình không ký tự đại diện (chỉ / api/bulktext/inbound/** là công khai, bảo vệ nội bộ X Cần thiết: trình phục vụ nội bộ của kamo tới trực tiếp qua Cho phép VOIPSERVICE vượt qua công chúng Cửa ra hoàn toàn. Không có gì thay đổi cả hai bên.