- Shipped
- 23 вересня 2026 р. о 10:34 UTC
- Author
- Kamo
- Commit
- cb37067
ResourceServerConfig дозволяє кожному запиту (це послуга є доступним анонімно) JavaScript licenses API Веб-сайт Go1.13.8 перевірив сеанс або внутрішній секрет своєї справи — ffmpeg і LibreOffice ran, і Batik перекодована сира SVG, на анонімне завантаження. Позбавляємо кожного абонента через флот доторкнувшись, оскільки більшість цих кінцевих точок мають сервіс-to-service callers (docsservice, Securityservice), які надсилають конфіденційність сьогодні: - /image/resize-висота: забиті на сеансі персоналу (extractK Ткенкен, однакові ворота ImagingUploadController застосовує) — його один дзвінок, сторінка налаштувань електронної пошти невиліковний без одного, тому це коштує нічого. - /convert-to-pdf-with-password: заглушка на ********************************************************************************************************************************************************************************************************************************************** постійний час, не закривається шаблоном, як TranscriptionController) - повний repo grep, знайдений No caller в будь-якій точці світу, щоб захопити його безкоштовно. - /image/resize-bg, /favicon/generate, /convert-to-pdf, /generate-thumbnails, /page-count, /рендер-сторінок: НЕ завадить. Кожен має хоча б один телефон для Java-сервісу, який не надсилається X-Internal-Auth сьогодні (безпека обслуговування************************************************************************************************************************************************************************************************************************************************** JavaScript licenses API Веб-сайт Go1.13.8 Переобладнання тут буде 401, що трафік не вгадайте, що ця зміна робить односторонньою. Full caller мапа, і майно *********** Українська ****************************************************************************************************************************************************************************************************************************************************************************** вже встановлений на цьому поді на попередній комісію) кожен телефонець повинен почати відправлення, йде в виправлений звіт. Затверджений самостійно від зазору, так як ніхто не залежить від координації запобіжника: - ImageResizeService: ні ffprobe, ні ffmpeg коли-небудь розповів про формат введення — як автодетекted через ffmpeg's повний demuxer набір з вмісту файлу. Тепер зрізається від чарівних байтів проти фіксованого Список побажань (PNG/JPEG/WebP/GIF/BMP → відповідність * pipe demuxer) і прикріплюється на обох інвокаціях; Що ще відмовлено перед процесом спасіння. - FaviconGeneratorService: вхід SVG проходить через блокування PNGTranscoder (NoLoadExternalResourceSecurity + NoLoadScriptSecurity, а не повторення власної політики за замовчуванням Batik для цієї форми введення — Перевірено вручну, що Batik 1.17 вже за замовчуванням, як тут, але це тепер гарантія це файлові стани та тестові шпильки, не непристойна власність залежностей прямо (вектор XXE; перевірено це значення DOES — Batik не відхиляє його самостійно). Додано однакову передкодову піксельну ковпачку (~100MP, через заголовок ImageIO-only зчитувач) та конвалюту обмежити (2 у польоті) вже мало змінного струму, плюс 2 Мб-кап на самому розмітці SVG. Нові/оновлені тести: ImageResizeServiceTest (форматний список), FaviconGeneratorServiceTest (SSSRF через A) локальний сервер HTTP, який повинен бачити нульові хіти, відмова від DOCTYPE, негабаритна відмова SVG, ****************************************************************************************************************************************************************************************************************************************************************************** ****************************************************************************************************************************************************************************************************************************************************************************** Мутація-перегляд: DOCTYPE, формат-allowlist і як нові автівки, всі йдуть червоні при вимкненні; тест SSRF не (див. його docstring — Batik вже захищає цю форму введення) але зберігається як пінізований регресія охоронець.