Sécurité · Cloisonnement entre clients
Un filtre en moins.
Une facture exposée.
Sans le filtre sur l’organisation, la recherche de facture peut renvoyer celle d’un autre client.
− organization=orgExaminer les preuves
La recherche vérifie toujours l’identifiant de la facture, mais plus l’organisation à laquelle elle appartient. Un appel venant de l’organisation A pourrait donc renvoyer une facture de l’organisation B.
Prochaine étape : rétablir le filtre sur l’organisation et ajouter un test de non-régression sur l’accès entre organisations.
Exemple illustratif, pas une mesure de précision. Les propositions de correctif se demandent séparément, et c’est vous qui les validez.
