גישה לחשבוניות של לקוחות אחרים באמצעות מזהים צפויים
השפעה
כל משתמש מחובר יכול לקרוא ולשנות חשבוניות של ארגונים אחרים על-ידי שינוי ה-invoice_id המספרי — וכך לחשוף שמות לקוחות, כתובות ופרטי תשלום בין לקוחות שונים.
הוכחת היתכנות
GET /api/v2/invoices/48213 HTTP/2
Host: app.example.com
Authorization: Bearer <tenant-A token>
HTTP/2 200 OK
{"id": 48213, "org": "tenant-B", "total": 12400, ...}תיקון מומלץ
לאכוף הרשאה ברמת האובייקט בכל בקשה: לשלוף את החשבונית דרך הארגון של המשתמש המבקש ולהחזיר 404 לכל מה שמחוצה לו. להוסיף בדיקות רגרסיה לכל תפקיד.