Un IDOR sur les paramètres de tenant
An IDOR on tenant settings: the ownership check applied on every other org-scoped route was missing here, so passing another organisation's id was enough.
Ça ne pouvait pas marcher
Une course, un ordre, une colonne pour deux choses. La forme l'excluait avant même l'exécution.
Un IDOR simple — la vérification de propriété que toute autre route cadrée sur l'organisation applique n'était pas appliquée sur les paramètres, donc passer l'id d'une autre organisation suffisait. La moitié la plus utile du correctif a été de centraliser les vérifications de propriété plutôt que de laisser chaque contrôleur les réimplémenter, parce que « chaque route s'en souvient » continuera de produire ça et venait de produire son premier ratage confirmé.