I post pubblici contengono URL di caricamento sicuri per caricamenti non sicuri

Bug
1

Molti post recenti sembrano avere caricamenti con URL di caricamento sicuri al loro interno, nonostante i caricamenti stessi non siano contrassegnati come sicuri, e un piccolo sottoinsieme di tali caricamenti ha anche immagini ottimizzate con impostazioni ACL errate. Tutte le immagini originali hanno le impostazioni ACL corrette in S3.

3 Mi Piace
2

Sono confuso, non credo che supportiamo correttamente una "modalitĂ  mista" @martin?

Quando i caricamenti sicuri sono abilitati, tutto dovrebbe essere protetto, incluse le pubblicazioni pubbliche?

3 Mi Piace
3

Le regole sono:

  1. Se login_required, tutto è contrassegnato come protetto tranne le cose pubbliche come loghi del sito, emoji, ecc.
  2. Se non lo è, solo i caricamenti nei PM o nelle categorie protette sono contrassegnati come protetti

Avrei bisogno di vedere alcuni esempi, è possibile che l’URL dell’immagine sia stato semplicemente copiato da un altro post in uno nuovo? Non ho mai visto questo comportamento di qualcosa che ottiene un URL protetto senza che il caricamento sottostante sia protetto.

4 Mi Piace
4

Questo è uno che ho trovato (per quanto ne so, nessuna delle immagini era hotlinked)

image
image712Ă—1233 99.1 KB

L’immagine in alto non ha un link sicuro, ma tutte le altre sì (anche se viene negato dall’ACL di lettura pubblica). Ho notato che su ogni altro post interessato, è sempre la prima immagine ad essere a posto ma non le altre (i post con una sola immagine non sono interessati)

1 Mi Piace
5

Ok, ne ho trovato un altro, anche se ora sono leggermente meno frequenti.

Le immagini sono effettivamente contrassegnate come sicure nel database (e non erano hotlinked), con la motivazione access control post dictates security | source: post creator, nonostante il post di controllo degli accessi sia un post pubblico che non è mai stato modificato né spostato.

Come il post precedente sopra, la prima immagine nel post non era contrassegnata come sicura, ma tutte le altre lo erano.

Una cosa molto simile sta accadendo su un forum diverso anche se in questo caso solo il primo caricamento è sicuro ma nessuno degli altri.