- Expédié
- 4 août 2026 à 03:50 UTC
- Auteur
- Kamo
- Commite
- b111065
Le coffre-fort de document a accepté des téléchargements arbitraires sans scanner de logiciels malveillants n'importe où sur la plate-forme, et c'est multi-locataire - un fichier un org télécharges est ouvert par les utilisateurs d'une autre organisation par l'intermédiaire du téléspectateur, de l'éditeur WOPI et de l'éditeur liant. ClamAV sur INSTREAM, parlé directement à la palourde (pas de bibliothèque cliente; protocol est un socket et un préfixe de longueur). La porte s'enfuit ImagingUploadContrôleur sur/upload et /templates/upload, avant le membre recherche et avant qu'aucun octet n'atteigne MinIO et balayage après le stockage quitte le objet récupérable pour la largeur de la course. Le comportement non joignable par scanner est FAIL OPEN par défaut, et il s'agit d'une décision plutôt qu'un accident. la paline n'est pas encore déployée: c'est l'application la moitié, et le déploiement est un acte opérationnel distinct (KlusterServices) auto-applice en push et n'est pas ce changement de toucher). Expédition clôturée en panne prendrait le document à la téléchargement pour chaque locataire dès que l'image roule, sans mise en scène dans laquelle cela aurait été pris. Ne pas ouvrir ici n'est pas "pas de protection", c'est le statu quo des dernières années, maintenant enregistré à ERROR chaque fois que ça arrive. Chaque bouton - y compris la fermeture en panne - vit dans kamowsconversion-config, donc le serrage une fois la palpée est stable est un sac à découvert éditer et redémarrer, pas une version. Un disjoncteur fixe le coût d'un scanner absent: après 3 consécutifs dés les défaillances du garde-vie stope la numérotation pour 60, de sorte que les téléchargements ne paient pas chacun un connecter la temporisation pour un contrôle qui est effectivement éteint. Sur la détection: 422 nommant la signature (et non un réessayer 5xx n'aidera pas), les octets sont conservés dans un seau de quarantaine dédié plutôt que largués, et le rejet est enregistré par PhiAccessRecorder. La ligne d'audit porte identifiants uniquement; le nom du fichier téléchargé reste hors de celui-ci parce que les noms de fichier ici contiennent régulièrement des noms d'emprunteurs. PhiAccessKind n'a pas de membre UPLOAD et ajoute l'un modifierait une contrainte de la colonne « énumérée » (STRING) dans la colonne partagée. bibliothèque, donc DOWNLOAD - permit-false est utilisé et la raison en est documentée à le site d'appel. Le PHI Trail de ce service est également passant à l'auteur durable de phi-access-log. L'entrée correspondante com.kamo.z.shared.phi.audit est dans le même engagement EnableJpaRepositories list, et PhiAuditRepositoryScanTest échoue dans la construction si les deux dérives toujours - cet appariement est ce qui a pris chaque connexion sur 2026-08-03. Retro-scan (POST et documents de balayage déjà dans la voûte, plateau-lâtre et paged. Il signale et préserve, ne bloque jamais ou supprime: la réalisation d'un objet stocké nécessite une quarantaine persistante drapeau, c'est-à-dire une colonne de bibliothèque partagée appliquée par un initialiseur à manche tandis que L'infrastructure de services est construite contre les principaux, et la suppression d'un faux positif détruirait un registre du locataire sans recouvrement. Essais: 36 nouveaux. Préexistant au-delà de 1080 échoue toujours sur un arbre propre; intact. Non couvert, délibérément: RecordingIngestController (Astérisque intérieur-auth push) et WOPI PutFile de DocsService sont les deuxièmes chemins d'ingestation qui veulent la même chose gate, mais le scanner vit dans ce service et WOPI n'a pas de jeton à attribuer une ligne d'audit à. Tous deux sont des suivis et non des oublis.