fix(tradein): security hotfix — C-3 config default + C-4 empty estimate persist + C-6 PDF URL allowlist #435

Merged

lekss361 merged 1 commit from fix/tradein-security-hotfix-v2 into main

2026-05-23 09:38:24 +00:00

Author	SHA1	Message	Date
lekss361	c92b574e59	fix(tradein): security hotfix — config default + empty estimate persist + PDF URL allowlist C-3: убрать hardcoded DATABASE_URL default из Settings (fail-fast если env не задан). C-4: _empty_estimate теперь делает INSERT в БД — GET /estimate/{id} не возвращает 404. C-6: _safe_url allowlist против javascript:/data: в source_url; CDN allowlist для photo_url.	2026-05-23 12:24:11 +03:00

Author

SHA1

Message

Date

lekss361

c92b574e59

fix(tradein): security hotfix — config default + empty estimate persist + PDF URL allowlist

C-3: убрать hardcoded DATABASE_URL default из Settings (fail-fast если env не задан).
C-4: _empty_estimate теперь делает INSERT в БД — GET /estimate/{id} не возвращает 404.
C-6: _safe_url allowlist против javascript:/data: в source_url; CDN allowlist для photo_url.

2026-05-23 12:24:11 +03:00