Problem\n\nDer path-Parameter in /preview (server.py:207) und /detect-angle (server.py:469) wird nicht gegen das Temp-Verzeichnis geprüft.\n\nJeder authentifizierte Nutzer kann beliebige Bilddateien vom Dateisystem lesen, z.B.:\n\nGET /preview?path=/home/vchuser/geheimnis.jpg\n\n\n## Fix\n\nPfad-Validierung analog zur vorhandenen Logik in /download:\npython\nif not os.path.abspath(path).startswith(tempfile.gettempdir()):\n raise HTTPException(status_code=403)\n
## Problem\n\nDer `path`-Parameter in `/preview` ([server.py:207](server.py#L207)) und `/detect-angle` ([server.py:469](server.py#L469)) wird nicht gegen das Temp-Verzeichnis geprüft.\n\nJeder authentifizierte Nutzer kann beliebige Bilddateien vom Dateisystem lesen, z.B.:\n```\nGET /preview?path=/home/vchuser/geheimnis.jpg\n```\n\n## Fix\n\nPfad-Validierung analog zur vorhandenen Logik in `/download`:\n```python\nif not os.path.abspath(path).startswith(tempfile.gettempdir()):\n raise HTTPException(status_code=403)\n```
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Problem\n\nDer
path-Parameter in/preview(server.py:207) und/detect-angle(server.py:469) wird nicht gegen das Temp-Verzeichnis geprüft.\n\nJeder authentifizierte Nutzer kann beliebige Bilddateien vom Dateisystem lesen, z.B.:\n\nGET /preview?path=/home/vchuser/geheimnis.jpg\n\n\n## Fix\n\nPfad-Validierung analog zur vorhandenen Logik in/download:\npython\nif not os.path.abspath(path).startswith(tempfile.gettempdir()):\n raise HTTPException(status_code=403)\nFixed in commit
be0a790.