थीम परिसंपत्तियों को पुनर्स्थापित करें - सीएसपी ने गलत होस्ट और एसवीजी को निष्क्रिय कर दिया था

शिप

3 अगस्त 2026 को 3:56 am बजे UTC

लेखक

kamo

Commit

aa7c32d

Avatars, org लोगो और पृष्ठभूमि हर किरायेदार के लिए लोड बंद कर दिया। दो अलग मैंने 36ad904b में शुरू किया, दोनों घंटों के लिए रहते हैं। 1. per-request img-src नीति ने किरायेदार डोमेन से लिया `request.nextUrl.hostname` पोड के अंदर जो 127.0.0.1 है, इसलिए 127.0.0.1 लेना पिछले दो लेबलों ने एपेक्स "0.0" का उत्पादन किया और उत्सर्जित हेडर था: Img-src 'self' डेटा: blob: https://theme.0.0 https://*.0.0 प्रत्येक वास्तविक विषय <domain> मूल इसलिए अवरुद्ध था। मेजबान होना चाहिए अग्रेषित हेडर से - अनुरोध ट्रेफिक और गेटवे के माध्यम से आते हैं, इसलिए बाहरी होस्टनाम केवल वहाँ रहता है। पहले से ही इस कोडबेस के बाकी पता चला है कि; एपीआई प्रॉक्सी X-Forwarded-Host स्पष्ट रूप से इसलिए backends कर सकते हैं इससे थीम URL बनाएं। गहरी गलती विफल रही थी एक मूल्य पर बंद कर दिया यह पार्स नहीं हो सकता। नीति एक nonsense एपेक्स से बनाया गया है, जो एक सख्त व्यक्ति से अविस्मरणीय है। सर्वर, इसलिए बाहर से कुछ भी गलत नहीं देखा - यह सिर्फ चुपचाप अवरुद्ध हर जगह छवियों। tenantApex () अब उन चीज़ों के लिए शून्य लौटाता है जो एक नहीं है Registrable डोमेन (आईपी साक्षर, नंगे लेबल, स्थानीयहोस्ट, संख्यात्मक TLD) और कॉलर पूरी तरह से हेडर को छोड़ देता है। एक लापता हेडर पिछले व्यवहार है; गलत हैडर एक आउटेज है। 2. खतरनाकallyAllowSVG: सभी स्रोतों के लिए ऑप्टिमाइज़र के माध्यम से झूठे अवरुद्ध SVG, न केवल दूरस्थ - और org/software लोगो और प्रदाता आइकन के तहत / लोगो SVG हैं। फिर से सक्षम, और यह अब बहुत संकीर्ण है जब यह पहली बार था सेट: रिमोटपैटरन खाली है, इसलिए ऑप्टिमाइज़र का उद्देश्य विदेशी नहीं है सभी पर होस्ट करें, और बाहरी छवियां / एपीआई / इमेज / पीआरॉक्सी के माध्यम से जाती हैं, जो मान्य करती हैं सामग्री-प्रकार और 'default-src' के साथ कार्य करता है; sandbox` प्लस nosniff। टेस्ट सटीक इनपुट के खिलाफ निष्क्रियता को कवर करते हैं, जिसके कारण यह होता है, व्हाइट लेबल डोमेन, अग्रेषित-होस्ट पूर्ववर्तीता, अल्पसंख्यक अग्रेषित मूल्य, बंदरगाह, और हर आकार जो शून्य पैदा करना चाहिए।.