KamoCRM

需要认证 + org 范围关于职称/部门变异

FixSecurityService
已装运
2026年8月2日 18:21 UTC
作者
Kamo
提交
f344bef

关于/api/security/job-titles/{id}和/api/security/部/{id}的PUT和DELETE 他们只读出UUID, 服务。 因为资源服务商Config允许每个请求和 API 服务中继器 / api/ security/** 没有网关认证, 两者都可以达到 未经认证 从互联网。 更新JobTitle Request和更新部门request 两者都带有权利[]和 角色Ids[],所以PUT是一个远程特权升级原始;DELETE 摧毁了另一个房客的出入控制器 已经在这些文件中应用了兄弟Get/{id} 处理器的同一梯子 使用:无会话 QQ 401,未知的id QQ 404,行出呼叫者的 Org QQ 403,行. 在每起负面事件中,都从未得到服务。 这里没有地址: 经认证的 Org 成员仍然可以编辑自己的 org的职称没有专门的权利,因为不存在这种权利。 角色权利Type。 介绍一个人需要一个卡莫Initializer运行加一个赠款,所以它 属于拒绝默认的授权工作,而不是这个固定.

所有更改

就像你看到的运输?

所有东西都是靠自己运入你的工作空间的 从免费计划开始,一个月后再读这页.

永远开始自由查看定价