[MessagerieController] Contrôle d'accès insuffisant

Le controller présente plusieurs endpoints permettant des actions sur les messages sans vérification de l'appartenance ou de l'autorisation de l'utilisateur.

Lecture non autorisée des messages : Endpoints : /ecrire/{message} et /message-envoye/{message} Ces endpoints permettent de lire le contenu de n'importe quel message en utilisant simplement l'id du message. Aucune vérification n'est faite pour vérifier si l'utilisateur actuel est bien le destinataire (ou l'émetteur) du message.
Suppression non autorisée des messages : Endpoint : /supprimer/all/ Cet endpoint permet la suppression de n'importe quel message en utilisant son id, sans vérification sur l'utilisateur.
Upload prématuré des pièces jointes lors de l'envoi de message : Endpoint : /envoyer Cet endpoint, bien qu'il échoue ligne 180 si un utilisateur non Personnel l'invoque, permet quand même l'upload de pièces jointes sur le serveur avant l'échec : https://github.com/Dannebicque/intranetV3/blob/055a99fdd101822f772dc957e56654221349e76f/src/Controller/MessagerieController.php#L173-L180

Dannebicque / intranetV3

[MessagerieController] Contrôle d'accès insuffisant #315