Phil/philflow.io
1
0
Fork 0
Code Issues 21 Pull requests Projects Releases Packages Wiki Activity Actions

fix(security): Video-Einbettung im Blog wieder erlauben #114

Merged
Phil merged 1 commit from fix/csp-video-einbettung into main 2026-09-07 15:52:44 +00:00
Conversation 0 Commits 1 Files changed 1 +1 -1
Phil commented 2026-09-07 15:52:40 +00:00
Owner
Copy link

Die seit #98 aktive CSP setzt frame-src 'none' und laesst unter img-src
nur eigene Bilder zu. Die Video-Fassade im Blog braucht beides: sie laedt ihr
Standbild von i.ytimg.com und setzt beim Klick ein Fenster von
youtube-nocookie.com ein.

Aktuell nutzt kein Artikel das Feld, der Bruch ist also latent und heute nicht
sichtbar. Er wuerde beim ersten Video auftreten, und dann ohne Fehlermeldung:
leerer Kasten, Klick ohne Wirkung.

Beide Quellen sind namentlich erlaubt, kein Platzhalter.

Closes #112

🤖 Generated with Claude Code

https://claude.ai/code/session_017ikz99bSiCPPtTWWzs1ow9

Die seit #98 aktive CSP setzt `frame-src 'none'` und laesst unter `img-src` nur eigene Bilder zu. Die Video-Fassade im Blog braucht beides: sie laedt ihr Standbild von `i.ytimg.com` und setzt beim Klick ein Fenster von `youtube-nocookie.com` ein. Aktuell nutzt kein Artikel das Feld, der Bruch ist also latent und heute nicht sichtbar. Er wuerde beim ersten Video auftreten, und dann ohne Fehlermeldung: leerer Kasten, Klick ohne Wirkung. Beide Quellen sind namentlich erlaubt, kein Platzhalter. Closes #112 🤖 Generated with [Claude Code](https://claude.com/claude-code) https://claude.ai/code/session_017ikz99bSiCPPtTWWzs1ow9
Die neue CSP verbietet mit frame-src 'none' jedes eingebettete Fenster und
laesst unter img-src nur eigene Bilder zu. Die Video-Fassade im Blog
(templates/_components/blog/videoVersion.twig) laedt aber ihr Standbild von
i.ytimg.com und setzt beim Klick ein youtube-nocookie-Fenster ein. Beides
waere stillschweigend blockiert worden.

Aktuell nutzt kein Artikel das Feld, der Bruch ist also latent und nicht
sichtbar. Er wuerde beim ersten Video auftreten, und dann ohne Fehlermeldung
im Bild.

Beide Quellen sind namentlich erlaubt, nicht per Platzhalter.

Closes #112

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017ikz99bSiCPPtTWWzs1ow9
Phil merged commit df99f92e55 into main 2026-09-07 15:52:44 +00:00
Phil deleted branch fix/csp-video-einbettung 2026-09-07 15:52:44 +00:00
Sign in to join this conversation.
Reviewers
No reviewers
Labels
Clear labels
No items
No labels
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference
Phil/philflow.io!114
No description provided.