- Expediere
- 3 august 2026 la 03:56 UTC
- Autor
- kamo
- Comite
- aa7c32d
Avatare, logo-uri org și fundaluri oprit încărcarea pentru fiecare chiriaș. Două separate regresii am introdus în 36ad904b, ambele trăiesc ore. 1. Politica pe cerere img-src derivat domeniul chiriașului din În interiorul podului, care este 127.0.01, deci luând Ultimele două etichete au produs vârful "0.0" iar antetul emis a fost: Img-src 'self' data: blob: https://theme.0.0 https://*.0.0 Prin urmare, fiecare temă reală. Gazda trebuie să vină. de la antetele transmise aşa că numele de gazdă extern supravieţuieşte doar acolo. Restul acestei baze de coduri deja Știa că; proxy API înainte X-forwarded-Host în mod explicit, astfel încât backends poate construiți URL-uri tematice din ea. Greșeala mai profundă a fost că nu a reușit să se închidă pe o valoare nu a putut parse. O politică construit dintr-un apex nonsens este imposibil de distins de la unul strict la server, astfel încât nimic nu sa uitat în neregulă din exterior imagini peste tot. chiriasApex () returneaza acum nul pentru nimic care nu este un Domeniul registrabil (IP literal, eticheta goală, localhost, numeric TLD) și Apelantul omite antetul complet. Un antet lipsă este comportamentul anterior; Un antet greşit e o pană de curent. 2. periculosAllowSVG: fals blocat SVG prin optimizator pentru toate sursele, nu numai cele la distanță și logo-urile org/software și icoanele furnizorului /logo sunt SVG. Re-enabled, și este mult mai îngust acum decât atunci când a fost prima set: la distanță Patterns este gol, astfel încât optimizatorul nu poate fi îndreptat spre un străin gazda la toate, și imagini externe trec prin /api/images/proxy, care validează conţinut-tip şi serveşte cu "niciun" src; sandbox Testele acoperă derivarea împotriva input-ul exact care a cauzat acest lucru, domenii de culoare albă, premize ale gazdelor transmise, valori transmise de virgulă; porturi, și fiecare formă care trebuie să producă nul.