- शिप
- 23 सितंबर 2026 को 10:34 am बजे UTC
- लेखक
- Kamo
- Commit
- cb37067
संसाधनसर्वरConfig हर अनुरोध की अनुमति देता है (यह सेवा गुमनाम रूप से पहुंच योग्य है) रूपांतरण-api.kamocrm.com), और कोई भी ImageOpsController या रूपांतरण नियंत्रक के हैंडलर एक सत्र या अपने स्वयं के आंतरिक रहस्य की जाँच करें - ffmpeg और LibreOffice भाग गए, और Batik अनाम अपलोड पर ट्रांसकोडेड कच्चे एसवीजी। प्रत्येक कॉलर को छूने से पहले बेड़े में मैप किया गया था, क्योंकि इनमें से अधिकांश समापन बिंदुओं में से एक है सेवा कॉलर्स (docsservice, Securityservice) जो आज कोई क्रेडेंशियल नहीं भेजते हैं: - / छवि / आकार-ऊंचाई: एक स्टाफ सत्र (एक्सट्रैक्ट के) पर गेट Token, वही गेट ImagingUploadController लागू होता है) - इसके एक कॉलर, ईमेल हस्ताक्षर बैज सेटिंग्स पृष्ठ, है इसलिए यह लागत कुछ नहीं है। - / कन्वर्ट-to-pdf-with-password: **************** साझा रहस्य (same) निरंतर समय, ट्रांसक्रिप्शन कंट्रोलर के रूप में असफल-बंद पैटर्न - एक पूर्ण रेपो grep पाया नहीं कॉलर कहीं भी, इसलिए इसे खिलाना मुफ्त है। - /image/resize-bg, /favicon/generate, /convert-to-pdf, /generate-thumbnails, /page-count, /render-page: गेट नहीं। प्रत्येक में कम से कम एक जावा सर्विस-टू-सर्विस कॉलर होता है जो कोई नहीं भेजता है X-Internal-Auth आज (सुरक्षा सेवा का **************** कन्वर्ज़नPageClient, docsservice's DocumentService. यहां से पूछते हुए 401 होगा कि यातायात तुरंत तैनाती पर - एक उत्पाद / क्रॉस-रीपो निर्णय, यह नहीं लगता कि यह परिवर्तन एकतरफा बनाता है। पूर्ण कॉलर नक्शा, और संपत्ति ******************* / ************* पहले से ही इस पॉड पर पिछले प्रतिबद्ध है) प्रत्येक कॉलर को भेजने शुरू करने की आवश्यकता होती है, अंदर जाता है फिक्स रिपोर्ट। क्योंकि इसमें से कोई भी कॉलर समन्वय पर निर्भर नहीं है: - ImageResizeService: न तो ffprobe और न ही ffmpeg को कभी इनपुट प्रारूप कहा गया था - दोनों ऑटो-डिटेक्टेड फ़ाइल सामग्री से ffmpeg के पूर्ण demuxer सेट में। अब एक निश्चित के खिलाफ जादू बाइट से पीड़ित अनुमति सूची (PNG/JPEG/WebP/GIF/BMP → मिलान * पाइप demuxer) और दोनों invocations पर pinned; किसी प्रक्रिया से पहले किसी और को मना कर दिया जाता है। FaviconGeneratorService: SVG इनपुट एक बंद-डाउन PNGTranscoder (NoLoadExternalResourceSecurity) के माध्यम से चला जाता है + NoLoadScriptSecurity, इस इनपुट आकार के लिए Batik की अपनी डिफ़ॉल्ट नीति पर भरोसा करने के बजाय — हाथ से सत्यापित किया गया है कि Batik 1.17 पहले से ही यहां बंद हो गया है, लेकिन अब यह एक गारंटी है फ़ाइल राज्यों और एक परीक्षण पिन, एक अस्थाई निर्भरता-परिवर्तन संपत्ति नहीं) और एक DOCTYPE मना कर दिया आउटराइट (XXE वेक्टर); ने इस बात की पुष्टि की - बैटिक इसे अपने आप में अस्वीकार नहीं करता है। उसी प्री-डेकोड पिक्सेल कैप (~100MP, imageIO के हेडर-केवल रीडर के माध्यम से) और concurrency जोड़ा गया सीमा (2 उड़ान में) पहले से ही आकार का समापन बिंदु था, साथ ही SVG मार्कअप पर एक 2MB टोपी भी। नया / अद्यतन परीक्षण: ImageResizeServiceTest (format Allowlist), FaviconGenerator ServiceTest (SSRF) एक के माध्यम से स्थानीय HTTP सर्वर जिसे शून्य हिट देखना चाहिए, DOCTYPE इनकार, oversized-SVG इनकार), ************* ************* Mutation-checked: डीओसीटीईपीई, प्रारूप-अनुसूची और दोनों नए एथ गेट सभी विकलांग होने पर लाल हो जाते हैं; एसएसआरएफ परीक्षण निष्क्रिय नहीं होता है (इसके docstring देखें - Batik पहले से ही इस इनपुट आकार की रक्षा करता है) लेकिन एक pinned regression के रूप में रखा जाता है गार्ड।.