- Shipped
- 23 września 2026 10:10 UTC
- Author
- Kamo
- Commit
- d8971bc
GET/HEAD - zawsze odpowiadał z Zadeklarowany przez klienta Content-Type od przesyłania, brak dyspozycji, nie X-Content-Type-Options i brak CSP. ChatAttachmentService's upload allow-list Przyznaje obraz / w tym obraz / svg + xml, a dokument SVG może nosić - więc załącznik przechowywany jako obraz/svg + xml i otwarty przez URL ubiegły, jak Własny dokument odpowiedzi, na temat hosta kamo-internal, w którym plik cookie Jest httpOnly:false (prod już posiadał trzy załączniki czatu SVG). Czat Własna bańka już odmawia inline SVG - więc to było tylko Osiągalny, otwierając adres URL załącznika bezpośrednio, a nie przez normalne Widok czatu - ale URL jest dokładnie tym, co za afordancja "download" / "otwart" na Nieitrawiący układ załącznikowy musi być linkowany. Punkt końcowy teraz zawsze wysyła X-Content-Type-Options: nosniff i a restrykcyjna Content-Security-Polityka (default-src 'no'; piaskownica; ...) i Dodaj Content-Disposition: załącznik do wszystkiego poza małą listą dopuszczalną Typy obrazów rastrowych plus audio/- i wideo/- (które przejściowe strumienia Ten sam punkt końcowy i musi pozostać w linii, aby kontynuować grę). Nic w tym Zmieniono listę dozwoloną - SVG, PDF i wszelkie inne pliki w kształcie dokumentu nadal przesyłane Odniesie sukces, po prostu nie mogą już renderować jako strona, gdy ktoś otworzy Adres URL załącznika. Kawiarnia kamo-internal tej trasy - tylko do przodu - Tak, to Obecnie usuwa te nowe nagłówki z powrotem, zanim dotrą do przeglądarki - Oznakowany dla koordynatora, aby naprawić po tej stronie; to commit jest Mediaservice połowa. Zabezpieczony przez ImagingProxyContentSecurityTest (przestrzeganie wakacja: odwrotnie Nowy blok nagłówkowy obraca wszystkie cztery twierdzenia na czerwono).