- Se descapó
- 23 de septiembre de 2026 a las 10:34 UTC
- Autor
- Kamo
- Compromit
- cb37067
ResourceServerConfig permite cada solicitud (este servicio es accesible de forma anónima en conversion-api.kamocrm.com), y ninguno de ImageOpsController o ConversionLos manejadores de Controller comprobado una sesión o un secreto interno de su propia ffmpeg y LibreOffice corrió, y Batik SVG crudo transcodificado, en subidas anónimas. Encendió a cada llamante a través de la flota antes de tocar a Auth, porque la mayoría de estos puntos finales han llamadas de servicio a servicio (servicio de documentos, servicio de seguridad) que envían NO credencial hoy: - /imagen/resize-altura: cerrada en una sesión de personal (extractKToken, la misma puerta ImagingUploadController se aplica) Su única llamada, la página de configuración de la insignia de la firma de correo electrónico, es En sí inalcanzable sin uno, así que esto no le cuesta nada. - /convert-to-pdf-con-contraseña: cerrado en el ************* secreto compartido (mismo patrón constante, fallido como TranscriptionController) - un repo grep completo encontrado NO llamante En cualquier lugar, así que cotizarlo es gratis. - /imágena/resize-bg, /favicon/generate, /convert-to-pdf, /generate-thumbnails, /page-count, /render-page: NO cerrada. Cada uno tiene al menos una llamada de servicio Java que envía no X-Internal-Auth de hoy (servicio de seguridad ********************** ConversionPageClient, DocumentService de docsservice). Recetar a la úlcera aquí 401 ese tráfico Inmediatamente en el despliegue de una decisión de producto/cruepo, no una conjetura que este cambio tome unilateralmente. Mapa de llamada completa, y la propiedad **************** / **************** ya montado en esta vaina por el compromiso anterior) cada llamante necesita empezar a enviar, entra el informe. Redirigido independientemente de la brecha de la abuela, ya que nada de ella depende de la coordinación de llamadas: - ImageResizeService: ni ffprobe ni ffmpeg se le dijo nunca el formato de entrada. a través del conjunto demuxer completo de ffmpeg del contenido de archivo. Ahora olfateado de magia bytes contra un fijo permitir la lista de firmas (PNG/JP/WebP/GIF/BMP, la combinación de la tube demuxer) y sujeta a ambas invocaciones; cualquier otra cosa se rechaza antes de que se engendice un proceso. - FaviconGeneratorService: La entrada de SVG pasa por un PNGTranscoder bloqueado (NoLoadExternalResourceSecurity NoLoadScriptSecurity, en lugar de confiar en la propia política predeterminada de Batik para esta forma de entrada. Verificó a mano que Batik 1.17 ya incumple ambos aquí, pero eso es ahora una garantía de esto archivo indica y un pinchazo, no una propiedad de la versión de dependencia no declarada) y rechaza un DOCTYPE UU. (el vector XXE; verificado este asunto DOES - Batik no lo rechaza por sí solo). Añadido la misma tapa de píxel predecodificada (100MP, vía lector de cabecera de ImageIO) y la concurrencia límite (2 en vuelo) los endpoints de redimensionamiento ya tenían, más una tapa de 2MB en el marcado SVG. Pruebas nuevas/actualizadas: ImageResizeServiceTest (format allowlist), FaviconGeneratorServiceTest (SSRF via a Servidor HTTP local que debe ver cero golpes, negativa DOCTYPE, rechazo de gran tamaño-SVG), ******************* ************* Mutation-checked: the DOCTYPE, formato-perseguido y ambas nuevas puertas auth se vuelven rojas cuando están de movilidad reducidas; la prueba de la SSRF no (ver su docstring - Batik ya defiende esta forma de entrada) pero se mantiene como una regresión fija guardia.