Дану, мой инет все равно такую «уязвимость» не вытянет, да и памяти свободно на десктопе много, да и на ноуте тоже

Вполне возможно что это не совсем достоверный источник и нужно читать спеки.

зная мелкософт - нужно юзать дебагер и смотреть самостоятельно, т.к. спеков нет (то что в MSDN не совсем соответствует реальности)
или спросить у разработчиков вайна, они уже наверняка смотрели :)

Настолько не пофиг что даже полез на хабр за офигительными историями.

я раньше это читал
ЕМНИП переводится как «Если Мне Не Изменяет Память»
собсна память браузера ему тоже не изменяет, потому вытянул ссылку оттеда и передал сюда
все

— 10G одеколфавикона каждому за счёт заведения!

Потому что он favicon не умеет.

Лол. Favicon'ы же появились только благодаря эксплореру.

По своей структуре изображения в файле ICO наиболее близки к BMP

Продолжим цитату:
"...но принципиально отличаются от них наличием дополнительного изображения — маски, накладываемой на задний план при помощи операции побитового «И», что позволяет реализовать (полную) прозрачность рисунка. "
Теперь по существу. ЕМНИП у ico цвет верхнего левого пикселя и считался «прозразным». Bmp также последовательная пиксельная картинка, но у него еще была возможность записывать в заголовке цветовую палитру.

Мы там выше про размер файла говорили, всё остальное в этом контексте несущественно.

Уязвмиость в баг-теркере Chromium

Проверено: Shaman007

Есть вещи, которые никогда не меняются

Теперь по существу. ЕМНИП у ico цвет верхнего левого пикселя и считался «прозразным».

кстати да, тоже что-то такое помню

но
даже по той ссылке на вики есть : «Зарезервировано. Должно быть 0. В технической документации Microsoft указано, что это значение всегда должно быть 0, однако значки, которые создаются встроенными средствами .NET (System.Drawing.Icon.Save) содержат в этом поле значение 255.»

как-то так все и работает :)

ГДЕ CVE!

Subj.

16 или 32Kb ram на реальных ПК - вот это пафос, а ваши 640Kb - шик.

Потому что никто не будет делать такой сайт, который только создает неудобства посетителям, без всякой пользы для кого-либо. Это бессмыслица.

Вот именно.

А почему собственно это баг, а не фича? Вдруг иконка в хай-резе, 100500x100500 пикселей, так задумано дизайнером? :) А при наведении мышки должна показываться в оригинальном размере

Чтобы при наведении мышки на этот сайт в закладках у пользователя сразу пропадало желание туда заходить? Неплохое решение, на такие сайты действительно лучше не ходить.

зная мелкософт - нужно юзать дебагер и смотреть самостоятельно, т.к. спеков нет (то что в MSDN не совсем соответствует реальности)

Немного оффтопа. Я с Вами полностью согласен. Прям вспомнилось, еще в конце 90-х была у нас коллекция msdn на дисках, честно купленная за не иллюзорные деньги по тем временам. Что именно из api мне там нужно было, не помню, но сам факт ошибки в доках был. Пришлось вручную, опытным путем вычислять размер структур для разных версий винды. Замучался тогда. Решение нашел опытным путем, и оно оказалось правильным, гораздо позже случайно на каком-то форуме обнаружил полное описание того, что мне пришлось подгонять самому. Полное совпадение с моим решением. Вот и на текущий момент я как-то не верю что «там у них» что-то изменилось. Для этого и создали всякие дот-нафигнужно-нет и т.д. шоб праграмисты не думали за память.

Kb ? МК-61 вам в ленту ...

Лыко-мочало

Зато всю память знаешь как свои пять пальцев и нет никаких лишних прослоек в виде слишком умных и трудно предсказуемых ос.

А в чём уязвимость? И чем это хуже когда картинку такого же размера просто встроить в страницу? А ещё простая статичная html страничка без картинок, скриптов и флеша, но большого размера тоже отжирает несколько гигабайт памяти.

вот и я про то же
с этим сталкивались все , кто более-мение серьезно программил под венду
из-за этого все слюни-сопли что цацка не работает под wine, ибо разработчики его придерживаются спеков, а разрабы игоря - метода тыка
вот так вот и живем

Было тоже. Только занятие «вбиванием кода» ради «крутой игры» не доставляли удовольствия. Поэтому мечта ПК - пересилиа.

без всякой пользы для кого-либо

Придумал ещё несколько юзкейсов: microsoft.com на страничке IE, сайт опсоса для пользователей мобильного интернета, халявный wi-fi с подменой фавиконок в каком-нибудь совковом макдаке.

А ещё можно отдать CSS размером 9 Гбайт. А ещё можно отдать картинку размером 9 Гбайт. А ещё можно отдать фоновую музыку размером 9 Гбайт. Остановите меня, пока я не сломал весь интернет!

Да.

А в чём уязвимость? И чем это хуже когда картинку такого же размера просто встроить в страницу? А ещё простая статичная html страничка без картинок, скриптов и флеша, но большого размера тоже отжирает несколько гигабайт памяти.

уязвимость так-се, на самом деле
у некоторых юзверей есть х100500Mbit-ный интернет
и если обычный юзер закроет вкладку спустя пол-часа и 500Mb , то обладатель скоростного интернетря может не успеть

Уж думал что-то серьезно, а это тьфу. Даже не уязвимость, а баг.

отдай браузер размером 9 Гбайт без такой уязвимости

А ещё можно отдать CSS размером 9 Гбайт. А ещё можно отдать картинку размером 9 Гбайт. А ещё можно отдать фоновую музыку размером 9 Гбайт. Остановите меня, пока я не сломал весь интернет!

Сабж лучше: можно просто отдать, например, пустой txt и пользователь даже не поймёт что случилось.

Kb ? МК-61 вам в ленту ...

Ох как поддерживаю. Правда на уровне MK-85. Я на нем умудрился даже график рассчитать.

Я прошла через 640 кб RAM

Алёна, ты?

Да ты чо - грозный анонимус из клана хакеров. И мочалок командир!

Проверил с огромным (ну такая же генерация как у чела на гитхабе) css файлом — фф ё... упал кароче.

Куда писать о баге?

Проверил с огромным (ну такая же генерация как у чела на гитхабе) css файлом — фф ё... упал кароче.
Куда писать о баге?

Проверь ещё на хромоге и пиши в гугл, вдруг денег дадут.

а js ? для дабла

Какой баг, Вы что? Обнаружена новая уязвимость! Писать на главную канечно :)

Проверь ещё на хромоге и пиши в гугл, вдруг денег дадут.

«Я указал в настройках чтоб тип файлов .rar открывался в браузере, и закачал туда образ свежеспикупленной цацки ГТА-8 размером 100Гб
и фсе...
дайте денюх!»

кстати, кто там проверяет, проверьте еще и .pdf в фоксе
хотя че его проверять, он и так толком не грузится :)

как обычно. в спортлото.

хотя че его проверять, он и так толком не грузится :)

видимо бздят грузить. Проверочки всякие там, шуры муры. Не мало через Adobe плагины говна в своё время лезло. Шуганые.

Напомнило старую тему, про симлинки на /dev/random. Когда-то работало :)

Это не закон программиста, это антипаттерн эффективного менеджера, которому тупое руководство дало управлять программистами.

Ага, туда только жопоруких и имбецильных принимают, не меньше.

А я бы вместо того чтобы страдать хернёй просто ограничил бы размер памяти под иконку до 640КБ и не парился бы.

Если пропустить через gzip терабайт нулей — результат можно на 2400 модеме за пару секунд выкачать.

Ну если захотят насрать - то подставят что-нибудь эмпирическое в виде MPEG.

Такая-то мелочь, а такие последствия! Весьма иронично что самый «лучший браузер» от самой «честной» компании не поддерживает данный баг. Вообще это довольно глупо со стороны разработчиков упустить такую мелочь. Это ведь простейший случай, в котором необходимо лишь проверять размер файла!

А если столько места будет занимать не иконка, а страница или изображение, то что?

Это не закон программиста, это антипаттерн эффективного менеджера, которому тупое руководство дало управлять программистами.

это анекдот изначально ;)

Сидит программист, отлаживает комп. Подходит сынишка:
-Папа, а почему солнышко каждый день встает на востоке, а садится на западе?
-Ты это проверял?
-Проверял.
-Хорошо проверял?
-Хорошо.
-Работает?
-Работает.
-Каждый день работает?
-Да, каждый день.
-Тогда ради Бога, сынок, ничего не трогай.

вот такой вариант нагуглил
ээээх, маладешш ..
«антипаттерн эффективного менеджера», №;%ть

Такая-то мелочь, а такие последствия! Весьма иронично что самый «лучший браузер» от самой «честной» компании не поддерживает данный баг. Вообще это довольно глупо со стороны разработчиков упустить такую мелочь. Это ведь простейший случай, в котором необходимо лишь проверять размер файла!

В общем то да - можно просчитать максимальный размер исходя из максимально-допустимого размера изображения и количества бит на пиксель для кодирования цвета.

А если столько места будет занимать не иконка, а страница или изображение, то что?

То видимо должен быть «ручник». Который должен предложить браузер и если его пользователь игнорирует - то виноват сам пользователь.

изображение

„Изображение не может быть показано поскольку содержит ошибки”.

А я бы вместо того чтобы страдать хернёй просто ограничил бы размер памяти под иконку до 640КБ и не парился бы.

А вдруг в будущем, со всякими супер-ретина экранами и повсеместным 8K среди веб-дизайнеров ставить favicon меньше 2048x2048 пикселей будет не модным и 640Кб не хватит, что тогда? )