- Expediere
- 23 septembrie 2026 la 10:34 UTC
- Autor
- Kamo
- Comite
- cb37067
ResourceServerConfig permite fiecare cerere (acest serviciu este accesibil anonim la Conversie-api.kamocrm.com), și nici unul dintre manipulatorii ImageOpsController sau ConversionController a verificat o sesiune sau un secret intern al propriului lor. SVG brut transcodat, pe încărcare anonim. Fiecare apelant din întreaga flotă, înainte de a atinge auth, deoarece cele mai multe dintre aceste obiective au apelanții de serviciu la serviciu (docsservice, securityservice) care nu trimit nicio acreditare astăzi: - /image/resize-height: gated on a staff session (extractK Token, aceeaşi poartă. ImagingUploadController aplica) nu poate fi găsită fără una, aşa că nu costă nimic. - /convert-to-pdf-with-password: gated on the *********** shared secret constant-timp, esec-închis model ca TranscriptionController) oriunde, deci e gratis. - /image/resize-bg, /favicon/generate, /convert-to-pdf, /generate-thumbnails, /page-conte, Nu poartă. Fiecare are cel puțin un apelant Java serviciu-la-service care trimite nu X-Normal-Auth astăzi (Securityservice's************ Pagină de conversieClient, Documentservice Docsservice). Cercetând Auth aici ar 401 că traficul imediat pe desfasurare Harta apelantului complet şi proprietatea ******************* / - Nu. deja montat pe acest pod pe angajamentul anterior) fiecare apelant trebuie să înceapă trimiterea, merge în raportul fix. S-a consolidat independent de decalajul dintre autzi, deoarece niciunul nu depinde de coordonarea apelantului: - ImageResizeService: nici ffprobe, nici ffmpeg nu a fost spus vreodată formatul de intrare peste setul complet de demuxer al dffmpeg din conţinutul fişierului. Acum mirosit din octeți magice împotriva unui fix Listă de autorizare (PNG/JPEG/WebP/GIF/BMP → Demuxer de potrivire * pipe) și fixat pe ambele invocări; Orice altceva este refuzat înainte ca procesul să se producă. - FaviconGeneratorService: intrare SVG trece printr-un PNGTranscoder blocat (NoLoadExternalResourceSecurity + NoLoadScriptSecurity, mai degrabă decât bazându-se pe propria politică implicită a lui Batik pentru această formă de intrare verificat de mână că Batik 1.17 deja implicit atât aici, dar că este acum o garanție acest stări de fișier și un pini de încercare, nu o proprietate de dependență-versiune neevaluată) și refuză un DOCTYPE pur și simplu ( vectorul XXE; verificat acest lucru NU contează A adăugat același capac pixel pre-decodat (~100MP, prin intermediul cititorului de antet al lui ImageIO) și a convailității limita (2 în zbor) obiectivele de redimensionare au avut deja, plus un capac 2MB pe marca SVG în sine. Teste noi/actualizate: ImageResizeServiceTest (format permislist), FaviconGeneratorServiceTest (SSRF via a serverul local HTTP care trebuie să vadă zero hit-uri, refuzul DOCTYPE, refuzul SIG supradimensionat); Nu-ţi face griji. Nu-ţi face griji. Verificarea mutaţiei: DOCTYPE, format-lista de autorizare și ambele porți noi auth toate merg roșu atunci când sunt dezactivate; testul SSRF nu (a se vedea docstring sale Gardian.