- Se descapó
- 4 de agosto de 2026 a las 3:50 UTC
- Autor
- Kamo
- Compromit
- b111065
La bóveda del documento aceptó subidas arbitrarias sin escaneo de malware en cualquier lugar de la plataforma, y es multi-tenant - un archivo una o cargas es abierto por los usuarios de otro org a través del espectador, el editor de WOPI y el aglutinante. ClamAV sobre INSTREAM, hablado directamente con clamdd (sin biblioteca cliente; el El protocolo es un enchufe y un prefijo de longitud). La puerta corre en ImagingUploadController en /upload y /templates/upload, antes que el miembro mirada y antes de cualquier bytes llegar a MinIO - escanear después de que el almacenamiento sale el objeto recuperable para el ancho de la carrera. Comportamiento escandaloso-inalcanzable es FAIL OPEN por defecto, y esa es una decisión en lugar de un accidente. clamdd aún no está desplegado: esta es la aplicación la mitad, y el despliegue es una ley operativa separada (KlusterServices auto-aplica en el empuje y no es este cambio para tocar). Envío fracasado-cerrado tomaría la carga de documentos para cada inquilino en el momento en que la imagen rueda, sin puesta en escena en la que eso hubiera sido atrincherado. Fallil-open aquí no es "sin protección", es el status quo de los últimos años, ahora registrado ERROR cada vez que sucede. Cada pomo, incluyendo el fracase - vive en kamowsconversion-config, por lo que apretarlo una vez que la almeja es estable es una configmap editar y reiniciar, no una liberación. Un interruptor acierra el costo de un escáner ausente: después de 3 consecutivos falla el guardia deja de marcar durante los años 60, por lo que las subidas no pagan a conectar el tiempo libre para un control que está efectivamente apagado. Al detectar: 422 nombrando la firma (no un 5xx y un reinicio de 5xx no ayudará), los bytes se conservan en un cubo de cuarentena dedicado en lugar de caer, y el rechazo se registra a través de PhiAccessRecorder. La fila de auditoría lleva identificadores solamente; el nombre de archivo cargado se mantiene fuera de él porque los nombres de archivo aquí Contienes rutinariamente nombres de prestatarios. PhiAccessKind no tiene miembro de UPLOAD y añade uno alteraría la restricción de una columna "Enumerado" en la biblioteca, por lo que se usa DOWNLOAD permitido=false y la razón está documentada en el sitio de llamadas. También cambia el rastro de PHI de este servicio al escritor duradero de phi-access-log. La entrada a juego com.kamo.z.shared.phi.phi.audit está en el mismo compromiso Lista de archivos de JpaRepositorios, y PhiAuditRepositoryScanTest falla la construcción si los dos siempre a la deriva - ese emparejamiento es lo que tomó cada inicio de sesión en 2026-08-03. Retro-scan (POST ************* barre los documentos ya en la bóveda, ascopeda y captada. Reporta y conserva, nunca bloquea o elimina: hacer que un objeto almacenado no retribuible necesite una cuarentena persistente bandera, es decir, una columna de biblioteca compartida aplicada por un inicializador a mano mientras servicio que CI construye contra principal, y borrarse en un falso positivo destruiría un registro de inquilino sin recuperación. Pruebas: 36 nuevas. Preexistente **************** averi, arriba1080, sigue fallando en un árbol limpio; intacto. No cubierto, deliberadamente: RecordingIngestController (internal-auth Asterisco empujar) y WOPI PutFile de DocsService son segundos caminos de ingestión que quieren lo mismo puerta, pero el escáner vive en este servicio y WOPI no tiene ficha para atribuir una fila de auditoría a. Ambos son seguimientos, no descuidos.