未经检查的用户上传材质可能导致远程代码执行 about authlib-injector

[yushijinhun]

除上面所述外，浏览器也是一个攻击面。如果 Yggdrasil 服务端返回的图像没有指明 content-type，那么攻击者可以进行 content-type sniffing 攻击。

解决方法：服务端指明材质的 content-type 为 image/png。

我会在 yggdrasil-mock 的测试样例中增加对此漏洞的检测。

参考：https://security.stackexchange.com/questions/8587/how-can-i-be-protected-from-pictures-vulnerabilities

[yushijinhun]

已在 1a94cd7f9578e6510425a2c470b5c4d246017dd8 中增加对用户上传材质安全性的说明。

[yushijinhun]

关于防止 content-type sniffing 攻击的提醒已添加到文档。a84d9f25383ca3b7ae65929113ff560b0ae0e5e2

[yushijinhun]

已在 yushijinhun/yggdrasil-mock@3d35c78 中添加对 Content-Type 的检查。