- Se descapó
- 23 de septiembre de 2026 a las 10:10 UTC
- Autor
- Kamo
- Compromit
- d8971bc
GET/HEAD ************* siempre contestado con el cliente-declarado Content-Type de carga, sin Contenido-Disposición, no X-Contenido-Type-Opciones y sin CSP. ChatAttachmentService-carilla de la lista de caracteres admite imagen/*, incluyendo image/svg-xml, y un documento SVG puede llevar un Así que un adjunto se almacena como image/svg-xml y abierto por URL corrió como el propio documento de la respuesta, en el huésped de kamo-internal donde la galleta *** es httpOnly:false (prod ya tenía tres archivos adjuntos de chat SVG). La charla El propio burbuja ya se niega a en línea SVG *************, así que esto era sólo alcanzable abriendo la URL del adjunto directamente, no a través de la normalidad vista de chat - pero la URL es exactamente lo que un "download"/"open" affordance en un chip de fijación no de imagen tiene que enlazar. El endpoint ahora siempre envía X-Content-Type-Options: enniff y a restrictivo Contenido-Security-Policy (default-src 'none'; sandbox; ...), y añade Contenido-Disposición: adjunto para cualquier cosa fuera de una lista de permisos pequeños de tipos de imágenes raster más audio/* y vídeo/* (que Range-stream through Este mismo punto final y debe mantenerse en línea para seguir jugando). Nada en el cambio de lista de destino - SVG, PDF y cualquier otra carga en forma de documento todavía triunfan, simplemente ya no pueden rendir como una página cuando alguien abre el la URL del adjunto. Relevo de kamo-internal de esta ruta ************* sólo adelante **************** por lo que actualmente desnuda estas nuevas cabeceras antes de llegar a un navegador - Marcado para que el coordinador se fije en ese lado; este compromiso es el la mitad del servicio de medios. Cubierta por ImagingProxyContentSecurityTest (mutation-checked: reverting the Nuevo bloque de cabezas vuelve roja las cuatro afirmaciones).