- Порезанный
- 23 сентября 2026 г. в 10:34 UTC
- Автор
- Kamo
- Обещать
- cb37067
ResourceServerConfig разрешает каждый запрос (этот сервис доступен анонимно). Conversion-api.kamocrm.com и ни один из обработчиков ImageOpsController Проверяли сеанс или внутреннюю тайну своих — ffmpeg и LibreOffice бежали, а Батик транскодированный сырой SVG на анонимных загрузках. Картографировал каждого абонента по всему флоту, прежде чем коснуться аута, потому что большинство этих конечных точек имеют Абоненты услуг (докссервис, служба безопасности), которые сегодня не отправляют никаких учетных данных: - /image/resize-height: gated on the staff session (extractK) Токен, те же ворота Применяется ImagingUploadController) - его один абонент, страница настроек значка электронной почты, является Сама по себе недосягаема без него, поэтому это ничего не стоит. - /convert-to-pdf-with-password: gated on the ************* shared secret Постоянный, закрытый по умолчанию шаблон в качестве TranscriptionController — полный репо-греп не нашел абонента В любом месте, так что играть бесплатно. - /image/resize-bg, /favicon/generate, /convert-to-pdf, /generate-thumbnails, /page-count, /render-page: не закрыт. У каждого есть по крайней мере один абонент Java, который не отправляет X-Internal-Auth Today (служба безопасности ****************) ConversionPageClient, docsservice's DocumentService. Требование здесь будет 401, что трафик сразу же после развертывания — решение о продукте/кросс-репо, а не догадка, которую это изменение делает в одностороннем порядке. Полная карта абонента и собственность **************** / **************************** уже установленный на этом контейнере в соответствии с предыдущим обязательством) каждый абонент должен начать отправку, входит Отчет об исправлении. Закаленная независимо от пробела в ауте, так как ни один из них не зависит от координации абонента: ImageResizeService: ни ffprobe, ни ffmpeg никогда не сообщали формат ввода - оба автоматически обнаруживались Полный набор демюксеров ffmpeg из содержимого файла. И тогда колдовство рассеется. список разрешений (PNG/JPEG/WebP/GIF/BMP → соответствующий * pipe demuxer) и прикрепленный к обоим вызовам; Все остальное отвергается до того, как происходит процесс. - FaviconGeneratorService: вход SVG проходит через заблокированный PNGTranscoder (NoLoadExternalResourceSecurity) NoLoadScriptSecurity, вместо того, чтобы полагаться на собственную политику по умолчанию Батика для этой формы ввода - Подтверждено вручную, что Batik 1.17 уже по умолчанию здесь, но это теперь является гарантией этого. состояние файла и тестовые значки, а не незаявленное свойство версии зависимости) и отказывается от DOCTYPE прямо (вектор XXE; проверено, что этот имеет значение — Батик не отвергает его сам по себе). Добавлена та же пре-декодная пиксельная кепка (~ 100 Мп, с помощью считывателя ImageIO только для заголовка) и параллелизм Предел (2 в полете) у конечных точек размера уже был, плюс ограничение 2 МБ на самой разметке SVG. Новые/обновленные тесты: ImageResizeServiceTest (форматный список), FaviconGeneratorServiceTest (SSRF) локальный HTTP-сервер, который должен видеть нулевые попадания, отказ DOCTYPE, отказ SVG; **************************** **************************** Мутация проверена: DOCTYPE, формат-допускной список и оба новых вентилятора для аута становятся красными при отключении; тест SSRF не (см. его докстринг — Батик уже защищает эту входную форму), но сохраняется в виде зажатой регрессии. Охрана.