- Shipped
- 3 Agustus 2026 pukul 03.56 UTC
- Author
- kamo
- Commit
- aa7c32d
Avatar, org logo dan latar belakang berhenti memuat untuk setiap penyewa. Dua terpisah Penyesalan saya memperkenalkan di 36ad904b, keduanya hidup selama berjam-jam. 1. Kebijakan per- permintaan halangan-src diturunkan domain penyewa dari 'Permintaan. NextUrl.hostname'. Di dalam pod yang 127.0.1, jadi mengambil terakhir dua label dihasilkan apex "0.0" dan keluar header adalah: img-src 'self' data: blob: https: / / theme.0.0 https: / / * .0.0 Setiap tema asli. Asal < domain > diblokir. Host harus datang. dari tajuk diteruskan - permintaan tiba melalui Traefik dan gateway, sehingga hostname eksternal bertahan hanya di sana. Sisa dari codebase ini sudah tahu bahwa; proksi API meneruskan X- Forwarded- Host secara eksplisit sehingga backends dapat buat URL tema dari situ. Kesalahan yang lebih dalam adalah gagal CLOSED pada nilai itu tidak bisa mengurai. Kebijakan dibangun dari puncak omong kosong tidak dapat dibedakan dari yang ketat di server, sehingga tidak terlihat salah dari luar - itu hanya diam-diam diblokir gambar dimana-mana. TenantApex () sekarang kembali kosong untuk apa pun yang bukan domain yang dapat didaftarkan (IP literal, label telanjang, localhost, numerik TLD) dan pemanggil mengabaikan header sepenuhnya. Sebuah header yang hilang adalah perilaku sebelumnya; header yang salah adalah outage. 2. berbahaya AllowSVG: salah diblokir SVG melalui optimasi untuk ALL sumber, bukan hanya yang jauh - dan logo org / software dan ikon penyedia di bawah / Logo adalah SVG. Diaktifkan ulang, dan jauh lebih sempit sekarang daripada ketika pertama kali set: remotePatterns kosong, sehingga optimizer tidak dapat ditujukan pada asing host sama sekali, dan gambar eksternal melalui / api / image / proxy, yang validates jenis -content- dan melayani dengan 'default -src' none; sandbox 'plus nosniff. Tes menutupi derivasi terhadap masukan yang tepat yang menyebabkan ini, domain white- label, forwarded- host mendahului, comma- bergabung nilai diteruskan, port, dan setiap bentuk yang harus menghasilkan null.