- Verschifft
- 6. August 2026 um 13:06 UTC
- Autor
- kamo
- Ausschuss
- a7352ef
Externe Bilder haben beim Versand der Bildrichtlinien auf Seitenebene eingestellt. Die Middleware setzt die 'Selbst'-Daten von "img-src": blob: https://theme.<apex" https://*. und ein E-Mail-Körper macht in einem "srcdoc" iframe mit "allow-same-Herrgin", so dass es erbt diese Richtlinie - jede URL von Drittanbietern in der Nachricht wurde von der Browser. "Anzeige externer Bilder" zeigte URLs, die die Seite nicht erlaubt war laden, so klicken Sie es tat nichts. Der Rest der App wurde in der gleichen Änderung auf "api/images/proxy" verschoben, was ist, warum "'self'" überall sonst ausreicht. E-Mail-Körper waren die Oberfläche immer noch ausserhalb der rohen Herkunft. Sie gehen nun durch die gleiche Proxy, für "<img src" und für die entfernte "url()" in CSS - "img-src" regiert auch "Hintergrund-Image". Zwei Details ergaben sich: - DOMPurify re-validiert ein Attribut, nachdem ein Hook es umgeschrieben hat, und ein <img> links ohne src wird herausgelassen, anstatt als ein gebrochenes Bild gehalten. Also ALLOWED_URI_REGEXP musste auch den Proxy-Pfad benennen; ohne ihn wurde das neu schreiben die Bilder gelöscht, die es zu restaurieren versuchte. - Bilder werden eher fallen gelassen als proxied. Der Proxy spricht nur https und eine https-Seite blockiert gemischten Inhalt, so dass die Übergabe des Browsers eine URL es wird sich weigern, niemandem zu helfen. Blockierung ist unverändert, während das Mitglied keine Bilder erlaubt hat: die transparent Pixel und data-kamo-blocked-src stehen immer noch in, und keine Anfrage Brände. Inline cid: Bilder wurden nie betroffen - sie bereits auf einen gleichgeschlechtlichen Pfad gelöst die Politik erlaubt.