- Expediere
- 23 septembrie 2026 la 10:10 UTC
- Autor
- Kamo
- Comite
- d8971bc
GET/HEAD *************** a răspuns întotdeauna cu Client-declarat Content-Type de la încărcare, nu Content-Dispozition, nu X-Content-Type-Options și fără CSP. Lista de autorizare a serviciului de chatAtachment recunoaşte imagine/* inclusiv imagine/svg+xml, şi un document SVG poate transporta o <Script> - astfel încât un atașament stocat ca imagine/svg+xml și deschis de URL a fugit ca propriul document al raspunsului, pe gazda kamo-interna unde cookie-ul *** este http only: fals (prod a avut deja trei atașamente SVG pe chat). Discuţia Bubble's own <img> deja refuză să inline SVG Asta a fost doar... accesibil prin deschiderea URL-ului atașamentului direct, nu prin intermediul normalului vizualizare chat - dar URL-ul este exact ceea ce un "download" /"deschis" de cumpărare pe o cip de atașament non-image trebuie să se conecteze la. Obiectivul final trimite acum întotdeauna X-Content-Type-Options: nosniff și a Conținutul restrictiv-Securitate-Poliție (default-src "niciuna"; cutie de nisip; ...) și Adăugaţi conţinut-Dispoziţie: ataşament pentru orice altceva în afara unei mici liste de permise de tipuri de imagini raster plus audio/* și video/* (care Range-stream prin acelaşi criteriu final şi trebuie să rămână în linie pentru a continua să joace). Nimic în SVG, PDF și orice altă încărcare în formă de document reușesc, ei pur și simplu nu mai pot reda ca o pagină atunci când cineva deschide URL-ul atașamentului. propriul releu kamo-internal de acest traseu Doar înainte. Nu-ţi face griji. în prezent benzi aceste antete noi înapoi înainte de a ajunge la un browser - marcat pentru coordonator pentru a fixa pe acea parte; acest angajament este Jumătate de serviciu media. Acoperit de ImagingProxyContentSecurityTest (verificat prin mutație: revenirea bloc nou antet se transformă toate cele patru afirmații roșu).