Content Security Policy is only active for HTML responses but not for image/svg+xml
该报告还没有中文解读。
原文摘录
摘自原文（1303 字符中的一小部分）
- Setup plain Rails application with a simple route and controller - Configure a Content Security Policy (CSP) for downloading/preview endpoints with `default-src 'none'` (via https://edgeguides.rubyonrails.org/security.html#content-security-policy) - Send a malicious SVG* file (e.g. attached …
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Ruby on Rails 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @thorsteneckel · 版权归作者与 Ruby on Rails 所有