- Expédié
- 23 septembre 2026 à 10:10 UTC
- Auteur
- Kamo
- Commite
- d8971bc
GET/HEAD - a toujours répondu avec le Type de contenu déclaré par le client à partir du téléchargement, pas de résolution de contenu, non X-Content-Type-Options et pas de CSP. Liste d'autorisation de téléchargement de ChatAttachmentService admet image/- y compris image/svg-xml, et un document SVG peut transporter un - donc une pièce jointe stockée sous forme image/svgxml et ouverte par URL a été effectuée comme suit: le document de la réponse, sur l'hôte de kamo-internal où le cookie est httpOnonly:false (prod détenait déjà trois pièces jointes au chat SVG). Le chat La bulle est déjà refusée à SVG en ligne - donc c'était seulement accessible en ouvrant l'URL de l'appendice directement, et non par la normale view - mais l'URL est exactement ce qu'un "download"/"open" affordance sur un la puce de fixation à l'image doit être liée. Le critère d'évaluation envoie désormais toujours X-Content-Type-Options: nosniff et a restrictive Content-Security-Policy (par défaut-src 'none'; bac à sable; ...), et ajoute la disposition de contenu: pièce jointe pour tout ce qui se trouve en dehors d'une petite liste de permis de types d'images matricielles plus audio/- et vidéo/- (qui ce même point d'extrémité et doit rester en ligne pour continuer à jouer). Rien dans le Liste d'autorisations modifiée - SVG, PDF et tout autre téléchargement en forme de document réussir, ils ne peuvent tout simplement plus rendre comme une page quand quelqu'un ouvre le URL de la pièce jointe. le relais de cette route pour y aller-retour - uniquement à l'avance; - donc il éloigne actuellement ces nouveaux en-têtes avant d'atteindre un navigateur - Destiné au coordonnateur pour fixer de ce côté-ci; cet engagement est le la moitié des services médiatiques. Couvert par ImagingProxyContentSecurityTest (témoin-checked: reverse the Un nouveau bloc d'en-tête fait tourner les quatre affirmations en rouge).