- 관련 상품
- 2026년 8월 3일 오전 3:56 UTC
- 이름 *
- kamo
- 뚱 베어
- aa7c32d
Avatars, org 로고 및 배경은 모든 10 년간 적재를 중단했습니다. 2개의 분리 회귀 나는 36ad904b에 소개, 둘 다 시간 동안 살고. 1. per-request img-src 정책은 10 개의 도메인을 파생했습니다. `request.nextUrl.hostname`. 팟 안에 127.0.0.1이므로 복용 마지막 두 개의 라벨은 apex "0.0"을 생산했으며 방출 된 헤더는 다음과 같습니다. img-src 'self' 데이터: blob: https://theme.0.0 https://*.0.0 모든 실제 테마.<domain> 기원은 따라서 차단되었습니다. 호스트가 와서 전달된 헤더에서 — 요청은 Traefik 및 Gateway를 통해 도착합니다. 그래서 외부 hostname은 거기에서만 살아납니다. 이 codebase의 나머지는 이미 알고; API 프록시 전달 X-Forwarded-Host 명시적으로 그래서 백엔드 수 있습니다 테마 URL을 빌드합니다. 더 깊은 실수는 값에 닫히지 않았습니다. 회사연혁 nonsense apex에서 건축하는 것은 엄격한 것에서 indistinguishable 입니다 서버, 그래서 아무것도 외부에서 잘못 봐 — 그냥 조용히 차단 어디에나 있는 이미지. tenantApex() 이제 null을 반환합니다. 등록 가능한 도메인 (IP 리터럴, 베어 라벨, localhost, numeric TLD) 및 caller omits 전체 헤더. 누락 된 헤더는 이전 행동입니다; 잘못된 헤더는 정전입니다. 2. dangerouslyAllowSVG: 모든 근원을 위한 낙관자를 통해서 거짓 막힌 SVG, org/software 로고와 공급자 아이콘을 원격으로 하나뿐 아니라 / 로고는 SVG입니다. Re-enabled, 그리고 그것은 첫번째 때 보다는 훨씬 더 좁습니다 set: remotePatterns는 비어 있습니다, 그래서 낙관자는 외국에 겨냥될 수 없습니다 모든 호스트, 외부 이미지는 /api/images/proxy를 통해 이동, 이는 validates content-type은 `default-src 'none'; sandbox`와 nosniff와 함께 제공됩니다. 시험은 이 발생한 정확한 입력에 대하여 derivation를, 덮습니다 흰색 라벨 도메인, forwarded-host precedence, comma-joined forwarded 값, 포트 및 null을 산출해야 하는 모든 모양.