- Verschifft
- 3. August 2026 um 03:56 UTC
- Autor
- kamo
- Ausschuss
- aa7c32d
Avatare, Org-Logos und Hintergründe hörten auf, für jeden Mieter zu laden. Zwei getrennte Regressionen, die ich in 36ad904b eingeführt habe, beide leben stundenlang. 1. Die pro-Anfrage img-src-Politik abgeleitet die Mieter-Domain von "request.nextUrl.hostname". Im Inneren der Hülse, die 127.0.0.1 ist, so dass die zuletzt zwei Etiketten produziert die Spitze "0.0" und die emittierte Kopfzeile war: img-src 'self' Daten: blob: https://theme.0.0 https://*.0.0 Jedes wirkliche Thema.<domain> Herkunft wurde daher blockiert. Der Gastgeber muss kommen von den weitergeleiteten Headern - Anfragen kommen durch Traefik und das Gateway an, so der äußere Hostname überlebt nur dort. Der Rest dieser Codebasis bereits wusste, dass; der API-Proxy leitet X-Forwarded-Host explizit so Backends können von dort, um Themen-URLs zu erstellen. Der tiefere Fehler war es, CLOSED auf einen Wert zu scheitern, den es nicht parsen konnte. Eine Politik von einem Nonsens-Pex gebaut ist nicht von einem strengen an der Server, so sah nichts falsch von außen. es nur lautlos blockiert Bilder überall. MieterApex() gibt jetzt Null für alles, was nicht ein registrierbare Domain (IP-Literal, Bare Label, localhost, numerische TLD) und der Caller lässt den Kopfball komplett weg. Ein fehlender Header ist das bisherige Verhalten; ein falscher Header ist ein Ausfall. 2. gefährlichÖLÖLern: falsch blockiert SVG durch den Optimierer für ALLE Quellen, nicht nur entfernte - und die Org/Software-Logos und die Provider-Symbole unter /logo sind SVG. Wieder aktiviert, und es ist viel schmaler jetzt als zu dem Zeitpunkt, als es zuerst war set: remotePatterns ist leer, so dass der Optimierer nicht auf einen fremden Host überhaupt, und externe Bilder gehen durch /api/images/proxy, die validiert Inhaltstyp und dient mit "default-src 'none'; Sandbox" plus nosniff. Die Tests decken die Ableitung gegen die genaue Eingabe ab, die dies verursachte, White-Label-Domains, weitergeleitete Host-Vorrang, Komma-gemeinung weitergeleitete Werte, Ports und jede Form, die null ergeben muss.