fix(agents): POST /agents nunca verificava tenant de userId/extensionId

Browse Source

Achado numa revisão de segurança sobre o trabalho da PHASE 29: um FK do
Postgres só checa que a linha referenciada existe, não que ela é visível
sob a RLS da sessão atual — então um userId/extensionId de outro tenant
seria aceito silenciosamente no create do Agent (violação do princípio já
seguido em todo o resto do código: nunca confiar em id vindo do client
sem checar contra o tenant do JWT). O frontend já só oferece opções do
próprio tenant, mas isso é conveniência de UI, não autorização.

Corrigido com uma checagem explícita de TenantMembership/Extension antes
do create (400 se não pertencer). Reverificado ponta a ponta: criação
legítima continua funcionando igual.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BFaBaBSQGhyXGEgtTYZGV8

...

This commit is contained in:

Matheus

2026-08-29 16:37:32 -03:00

parent 75212cafe6

commit 7f56c96454

6 changed files with 38 additions and 0 deletions

Show all changes Ignore whitespace when comparing lines Ignore changes in amount of whitespace Ignore changes in whitespace at EOL

Download Patch File Download Diff File Expand all files Collapse all files

BIN

apps/frontend/.impeccable/review/agentes-form-desktop.png

Binary file not shown.

Side by Side Swipe Overlay Before Width:  |  Height:  |  Size: 97 KiB After Width:  |  Height:  |  Size: 97 KiB