Pentest 68.1 (LOW) + 68.2 (INFO): PDF-Active-Content-Filter + Modal-Limit
68.1: Magic-Byte-Check prüfte nur %PDF-. PDFs mit /JavaScript, /JS,
/Launch, /EmbeddedFile, /RichMedia (Flash) kamen durch und wurden
inline ausgeliefert – Browser-Viewer ignorieren JS, Adobe Acrobat
nicht.
- Neuer Helper assertSafePdf(buf) in utils/sanitize.ts mit
case-sensitivem String-Scan auf die fünf Action-Patterns
(\b-Word-Boundary verhindert False-Positives bei /JSXForm etc.).
- Neue Middleware pdfUploadSafety.ts mit zwei Varianten:
requireSafeUploadedPdf (PDF-only) und scanUploadedPdfIfPresent
(durchwinkt JPG/PNG, scannt nur PDFs).
- Eingehängt in: upload.routes (Magic-Byte-Validator erweitert),
gdpr.routes Vollmacht-Upload, pdfTemplate.routes Template-Upload,
contract.routes Vertragsdokumente, cachedEmail.controller
(saveAttachmentTo, saveAttachmentAsInvoice,
saveAttachmentAsContractDocument).
- Inline-Vorschau bleibt – Pentester-Empfehlung "disposition=inline
abschalten" wurde bewusst nicht umgesetzt (löst Acrobat-Risiko
nicht, bricht aber ~20 UI-Stellen).
- Smoke-Test: 5 Payload-Typen abgelehnt, clean PDF + Non-PDF + JSXForm
durchgewinkt.
68.2: JpgToPdfModal-Self-DoS – MAX_IMAGES=50, MAX_IMAGE_BYTES=25MB.
duffyduck
ec577e6d76