- Shiked
- 23 Eylül 2026 10:34 UTC
- Yazar
- Kamo
- Commit
- cb37067
ResourceServerConfig her isteke izin verir (bu hizmet anonim olarak ulaşılabilir Dönüşüm-api.kamocrm.com), ve ImageOpsController'in veya Dönüşüm Kontrolünin hiçbiri Bir seans veya kendi iç sırrı kontrol edin – ffmpeg ve LibreOffice koştu ve Batik Transcoded ham SVG, anonim yükler üzerinde. Filodaki her çağrıcı auth'a dokunmadan önce, çünkü bu uç noktaların çoğu Bugün hiçbir gaddar göndermek için hizmet çağrıları (docsservice, securityservice): - / Image/resize-height: Bir personel oturumunda (extractK Hediye, aynı kapı GörüntülemeUploadler uygulanır) - bir caller, e-signature badge ayarları sayfası, is is is is is is is is is is is is. Bir tane olmadan kendi kendine ulaşılamaz, bu yüzden bu hiçbir şey değildir. - /convert-to-pdf-With-password: ******** paylaşılan gizli (same-password:) Sürekli zamanlı, TranscriptionController olarak kapatılmış desen - tam bir repo grep NO caller Her yerde, bu yüzden özgürdür. - /image/resize-bg, /favicon/generate, /convert-to-pdf, /generate-Jamesnails, / page-count, /render-sayfa: kapılmıyor. Her biri, gönderen en az bir Java hizmeti-to-service caller'e sahiptir X-Internal-Auth bugün (güvenlik hizmetlerinin ************************ ExchangePageClient, docsservice's DocumentService). Buradaki auth'u yeniden ele almak, 401 o trafik Hemen dağıtmaya devam edin – bir ürün/cross-repo kararı, bu değişikliğin tek taraflı hale geldiğini tahmin etmiyor. Full caller haritası ve mülk **************** / **************** Zaten önceki taahhütte bu pod'a monte edildi) her çağrıcının göndermeye başlaması gerekiyor, içeri girer. Fix raporu. Auth boşluğundan bağımsız olarak sertleşti, çünkü hiçbiri çağrıcı koordinasyona bağlı değildir: - ImageResizeService: ne ffprobe ne de ffmpeg hiç giriş formatına söylendi - hem oto-detecedilen. ffmpeg's full demuxer dosya içeriğinden set. Şimdi, sabit bir sihirbaza karşı sihirbazlar İzin listesi (PNG/JPEG/WebP/GIF/BMP → eşleştirme * bor demuxer) ve her iki invokasyonda kilitlendi; Bir işlemden önce başka bir şey reddedilir. - FaviconGeneratorService: SVG girişi kilitli bir PNGTranscoder (NoLoadDreamKaynak Security) ile geçer. + NoLoadiff Security, Batik'in bu giriş şekli için kendi varsayılan politikasına güvenmek yerine – Batik 1.17’nin her ikisinde de varsayılan olduğu el tarafından doğrulandı, ancak bu şimdi bir garantidir Dosya eyaletleri ve bir test pimleri, devletsiz bir bağımlılık özelliği değil) ve bir DOCTYPEPE reddediyor Doğru ( XXE vektörü; bu bir DOES meselesini doğruladı – Batik bunu kendi başına reddetmez). Aynı ön kodlu piksel kapını (~100MP, ImageIO'nun başlığıyla) ekledi ve tebrik (2 Uçuşta sınır) Yeniden boyut uç noktaları zaten vardı, artı SVG işaretinde 2MB kap. New/updated testleri: ImageResizeServiceTest (format letlist), FaviconGeneratorServiceTest (SSRF via a a a a) sıfır vuruşları görmek için yerel HTTP sunucusu, DOCTYPE reddedilmesi, boyutsal-SVG reddedilmesi), **************** **************** Mutation-checked: DOCTYPE, format-allowlist ve her ikisi de yeni auth kapıları devre dışı bırakıldığında kırmızıya gidiyor; SSR testi başarısız değil (Docstring’e bakın – Batik zaten bu girdi şeklini savunuyor) ancak bir tutam regresyon olarak tutuluyor. bekçi.