छवि प्रॉक्सी को दूसरे ऑर्ग के ब्रांडिंग की एक घंटे पुरानी प्रति परोसने के लिए रोकें

शिप

27 अगस्त 2026 को 10:59 pm बजे UTC

लेखक

Kamo

Commit

70b721a

थीम एसेट यूआरएल स्थिर हैं और उनकी सामग्री के बारे में कुछ नहीं कहते हैं: एक org सरल लोगो हमेशा `<alias>/img/logo.svg` है। हर ओर्ग को आधार के साथ भी बीज दिया जाता है जब यह बनाया जाता है, तो निर्माण के बीच और इसके पहले उन URL अपलोड करें वैध रूप से कामो के लोगो और कामो की पृष्ठभूमि की सेवा करते हैं। प्रॉक्सी के साथ जवाब दिया `private, max-age=3600`, इसलिए उस विंडो में एक पुल ने Kamo के बाइट्स को नीचे पिन किया org's own URL for a hour with no revalidation — और क्योंकि HTTP कैश है प्रति टैब के बजाय प्रति प्रोफ़ाइल, हर दूसरे टैब में भी। यह वास्तव में संगठनों के बीच दसंट डेटा लीकिंग की तरह पढ़ा जाता है, और यह नहीं है: मिनियो में बाइट्स और ऑर्ग रिकॉर्ड पूरे में सही थे। पर पुष्टि की org कि यह मारा - इसके लोगो और सभी पांच पृष्ठभूमि सही ढंग से नीचे संग्रहीत किया गया था अपने स्वयं के आलिया, और कुछ भी नहीं सभी पर मंच के फ़ोल्डर में लिखा गया था। अब `private, no-cache`: अभी भी संग्रहीत है, लेकिन पुन: उपयोग करने से पहले पुनः मान्य है। अपस्ट्रीम इटाग के माध्यम से पारित किया जाता है और दर्शक के 'If-None-Match' ने आगे बढ़ाया, इसलिए एक अपरिवर्तित छवि को पुनः डाउनलोड करने के बजाय 304 की लागत - थीम के सीएसएस के समान सौदेबाजी, config.json और पृष्ठभूमि छवियों पहले से ही बनाने के लिए।.