Загрузка файлов: агент клеит имя как есть и получает traversal

Свой uuid, свой каталог. Не original filename в путь.

Расширение белый список. Размер лимит.

Как

Сохранить под своим именем. Раздавать через хендлер.

Стоп

Отдавать путь пользователя в sendFile.

См. также: ревью.

Мы используем файлы cookie для того, чтобы предоставить пользователям больше возможностей при посещении сайта. Оставаясь на сайте, Вы соглашаетесь на обработку файлов cookie. Подробнее об условиях использования.