Критическое обновление безопасности: усиление прав доступа к SECRET_KEY, защита от SSRF и песочница для загруженных файлов.
- Breaking: Усилены права доступа к файлу SECRET_KEY и директории данных: теперь они доступны только владельцу, что требует смены ключа для защиты от несанкционированного чтения.
- Breaking: Экспорт изображений (COCO, YOLO) больше не включает медиафайлы с частных сетей при включенной SSRF-защите; требуется настройка переменных USE_DEFAULT_BANNED_SUBNETS или LABEL_STUDIO_HOST.
- Added: Загруженные HTML, SVG и XML файлы теперь открываются в песочнице с заголовком Content-Security-Policy: sandbox, что предотвращает выполнение скриптов.
- Fixed: Добавлена проверка S3-совместимых эндпоинтов на приватные адреса при каждом подключении для защиты от DNS-rebinding атак.
- Fixed: Исправлена утечка API-токена владельца организации при экспорте изображений на хосты, полученные из заголовка Host.