Hhh0710

Existe uma falha de autorização na função `checkPermissionsForCreateOrUpdate()` dentro da classe `Multitenancy`. Em implantações multi-tenant licenciadas onde várias aplicações compartilham um domínio de URI de conexão não padrão e utilizam `api keys` separadas, um invasor com uma chave de API válida para uma aplicação pode atualizar o domínio de URI de conexão pai. Isso ocorre porque o sistema não exige que a aplicação e o tenant de origem sejam públicos ao verificar o domínio durante operações de criação ou atualização. Consequentemente, um invasor pode substituir a chave pai e as chaves de aplicações irmãs, modificar usuários irmãos, sequestrar sessões e estabelecer persistência via usuários de painéis irmãos. Além disso, a omissão do identificador opcional nos manipuladores de criação ou atualização v2 permite que um invasor direcione o tenant base, ignorando verificações de permissão e travas de recursos empresariais para modificar `firstFactors`, fatores secundários obrigatórios e sinalizadores de receitas habilitadas, comprometendo a integridade e disponibilidade do login.

Em implantações multi-tenant usando WebAuthn com um pool de usuários compartilhado, o servidor falha ao restringir as pesquisas ao tenant solicitado e não verifica a associação ao tenant durante o login. Isso permite que um usuário com uma chave de acesso (passkey) válida em um tenant se autentique em outro tenant dentro do mesmo aplicativo, mesmo sem ter associação ao tenant de destino. O problema envolve as funções `loadOptionsById Transaction()` e `getUserInfoByCredentialId Transaction()`, bem como o método `WebAuthN.signIn`.