- F-12: HTML-Antworten erhalten 'Cache-Control: no-store' (Formulare/Session
nicht cachebar); statische Assets bleiben cachebar.
- F-14: Favicon (bi-globe2 als SVG, Logo-Farbe) inkl. /favicon.ico-Route und
<link rel="icon"> in allen Templates -> kein 404-Rauschen mehr.
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
- F-10 Open Redirect: is_safe_url()-Pruefung des next-Parameters beim Login;
login_required gibt next weiter, Login-Formular traegt es als Hidden-Feld.
Externe/protokoll-relative Ziele werden ignoriert -> Dashboard.
- F-11 Info-Leak: eigene Fehlerseiten (400/403/404/405/500) ohne Framework-
Hinweis oder Stacktrace (templates/error.html).
- manage.sh: 'unlock' (Brute-Force-Sperren aufheben) und 'reset-password'
(Admin-Passwort setzen/zufaellig erzeugen) via docker-compose run.
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Stefan Hacker