- Verschifft
- 14. Oktober 2026 um 23:02 UTC
- Autor
- Kamo
- Ausschuss
- f527486
Ein Besucher auf der Website eines Kreditgebers kann jetzt Dokumente, Bilder, Reißverschlüsse und gewöhnliche senden Audio/Video an den Agenten in der Registerkarte Live Support, und lesen Sie beide ihre eigenen Dateien zurück und die des Agenten. Scripts, Autorruns und ausführbare Dateien werden abgelehnt. Das Tor ist PublicVisitorAttachmentPolicy, beurteilt gegen die Bytes statt der Name oder deklarierter Typ: eine Standard-Deny-Erweiterung allowlist (durch die letzte Erweiterung, mit gefährliche Innenerweiterungen, bidi-Überschreitungen und Windows-Punkte abgelehnt), magische Bytes, die der beanspruchten Familie entsprechen müssen, PE/ELF/Mach-O verweigerte, was auch immer Name, Text, der wirklich Text sein muss, und ZIP-Familie Dateien durch ihre zentrale Nur Verzeichnis (keine Dekompression) - keine ausführbaren Dateien, verschachtelten Archiven, Symlinks oder Pfad Traversal in einem .zip; keine Makros, ActiveX- oder Embedded-OLE-Pakete in Office/OpenDocument; kein VBA-Projekt oder verpacktes Objekt in Legacy OLE2; kein eingebettetes Objekt in RTF. Neue Endpunkte (hinter dem Schlüssel/Ursprung/Rate-Gate von APIService, Session-Ton autorisiert): - POST ************ (mehrteilige "Dateien", je 1-5, 25 MB) - GET|HEAD .../attachments/{objImgId] und .../Vorschau (gleiche Sicherheitskopfzeilen wie die Mitgliedsroute, jetzt geteilt durch AttachmentResponsen) - POST .../messages akzeptiert "Anhänge": [{imgId, sortId] - Nur die eigenen Uploads des Besuchers in dieses Gespräch; Historienreihen tragen Anhänge in der Mitgliedsform. Besucherdateien werden wie jeder Chat-Anhang gespeichert (CHAT_ATTACHMENT, der Session-Guid, erstellt durch das Systemmitglied des org), so dass das Fenster des Agenten sie unverändert wiedergibt. sendSupportMessage kündigt nun alles an (NATS-Rahmen mit Anbaugerät, Aktivität mit hatAnhänge, anhängige Zählung) nach der Übergabe und ist @RetryOnDbConflict.