From 24dbdaa766cf100a92f0eb263d71a9f8f5b5c9fa Mon Sep 17 00:00:00 2001
From: Repinoid <tazet@narod.ru>
Date: Sun, 11 Oct 2026 08:26:16 +0300
Subject: [PATCH] =?UTF-8?q?admin:=20jwtMiddleware=20=D1=81=D1=80=D0=B0?=
 =?UTF-8?q?=D0=B2=D0=BD=D0=B8=D0=B2=D0=B0=D0=B5=D1=82=20=D1=82=D0=BE=D1=87?=
 =?UTF-8?q?=D0=BD=D1=8B=D0=B9=20=D0=BF=D1=83=D1=82=D1=8C=20/ui/api/auth=20?=
 =?UTF-8?q?(=D0=BD=D0=B5=20=D1=81=D1=83=D1=84=D1=84=D0=B8=D0=BA=D1=81=20/a?=
 =?UTF-8?q?uth)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 app/admin/admin.go | 6 ++++--
 1 file changed, 4 insertions(+), 2 deletions(-)

diff --git a/app/admin/admin.go b/app/admin/admin.go
index a19e394..90cbcb8 100644
--- a/app/admin/admin.go
+++ b/app/admin/admin.go
@@ -219,8 +219,10 @@ func (h *Handler) uiCredentials(w http.ResponseWriter, r *http.Request) {
 // НЕ вызывает PingNubesAPI повторно — токен уже провалидирован при /ui/api/auth.
 func (h *Handler) jwtMiddleware(next http.Handler) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		// /ui/api/auth — публичный endpoint, пропускаем без проверки JWT
-		if strings.HasSuffix(r.URL.Path, "/auth") {
+		// /ui/api/auth — публичный endpoint, пропускаем без проверки JWT.
+		// Сравниваем ТОЧНЫЙ путь, а не суффикс "/auth": иначе, например,
+		// DELETE /ui/api/tenants/{id}/queues/auth пропускался бы без JWT и IDOR-проверки.
+		if r.URL.Path == "/ui/api/auth" {
 			next.ServeHTTP(w, r)
 			return
 		}