Как мы старательно выкручиваемся и меняем цвет. Сначала мы выхватываем (и даже не думаем, что это не в тему) страшилку про вредоносный пнг.
Теперь подгрузка картинки с внешнего сайта смешна. Ну, посмейтесь если весело, сами себя посмешили своей нелепостью.
Потому что есть разумная рассчитанная экономия и очевидная экономия, которую даже не надо рассчитывать.
В вашем примере очевидная экономия - сделать с десяток кликов мышкой бесплатно вместо того, чтобы платить 30K специалисту по безопасности там, где он просто не нужен.
С этим никто не спорит, только спец должен выполнять свою работу к месту и в контексте обоснованных расходов.
Провести аудит безопасности движка на предмет возможности удалённого взлома - можно и нужно (и то, в зависимости от масштаба проекта).
А в данном случае это просто вольная фантазия.
А что не гипотеза про 300KK, чтобы совсем выглядело абсурдно.
Не платят частники по 30K спецу по безопасности только для того, чтобы разместить баннер.
Очевидно, что всё можно упростить до нулевой себестоимости.
Допустим, как вариант такое может быть.
А теперь чисто практически. На поиски такого специалиста сколько времени уйдет? (не считая риски, что найденный специалист посоветует что-то вообще бесполезное). Дальше, сколько будут стоить эти разовые услуги?
500 рублей - нет, 1000 рублей - нет, в районе 3-5K? Возможно.
Далее вопрос, захочет Евгений тратить свои деньги в данном объёме, если элементарно за пол минуты сможет пересохранить файл в другом формате, загрузив локально?
Где тут более целесообразное решение?
Этот специалист подскажет не заниматься ерундой, не слушать про неизвестные уязвимости (они и так останутся неизвестными), открыть файл в граф. редакторе, пересохранить в другом граф. формате и грузить локально. Всё.
Подробнее есть информация на эту тему (конкретные случаи взлома)?
А как они исполнятся, если тег <img> уже конкретно описан и никаких JS прицепом к нему нет?
Согласен. Слишком сложные схемы с крайне маловероятным деструктивным воздействием.
Евгений, я бы на вашем месте выдвинул условие - загрузка png картинки локально и саму картинку у себя принудительно переводить webp. Без возможности инициировать у вас php скрипты и проброс редиректов удалённо, навредить вам шансов не будет.
Вообще использовать непроверенные удалённые источники - так себе идея. Думаю, строго обозначить условия локальной загрузки материалов и всё, не сломать себе голову 😉
Слышали звон, но не знаем, где он?
Какое отношение вот это:
--
Для успешной эксплуатации CVE-2024-39717 злоумышленнику необходимо, чтобы пользователь с соответствующими правами (Provider-Data-Center-Admin или Provider-Data-Center-System-Admin) успешно прошёл аутентификацию и вошёл в систему.
Хотя точные обстоятельства использования CVE-2024-39717 пока остаются неясными, национальная база данных уязвимостей США (NVD) сообщает, что Versa Networks подтвердила один случай, когда клиент подвергся атаке. При этом отмечается, что клиент не реализовал рекомендации по настройке межсетевого экрана, выпущенные в 2015 и 2017 годах, что и позволило злоумышленнику воспользоваться уязвимостью без использования графического интерфейса.
имеет к данной теме?
А что с ходу хамим-то? Без понтов предложить информацию для ознакомления сложно?
Если они удалённо данный код менять не смогут, то проблемы не вижу.
Насколько я понимаю это просто статичная png картинка со ссылкой.
Вообще довольный странный код (в смысле очень простой), ни utm меток, ни js скрипта для подсчёта показа и кликов.
Они как эффективность будут измерять? При переходах с вашим реферером?
p.s. А вариант, что вы png картинку разместите у себя, им не подойдет? Если захотят поменять - пришлют вам обновлённый файл.
Или у них там скриптом на удалённом источнике png файлы будут меняться?
Я конечно не специалист в web безопасности, но раз на вашей стороне скрипт динамически не меняется, значит вы просто подтягиваете png картинку, а если вместо png картинки будет скрипт с расширение png, то он просто не исполнится и картинка не отобразиться.
Повторюсь, лучше конечно грузить png картинку со своего источника - так вы будете знать, что это именно картинка.
