From dd1e285c8c9f348deb40087dd5a1024e6d2904eb Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=E2=80=9CNaeel=E2=80=9D?= <tazet@narod.ru>
Date: Mon, 24 Aug 2026 20:04:10 +0300
Subject: [PATCH] =?UTF-8?q?docs:=20=D0=BF=D0=BE=D0=B4=D1=82=D0=B2=D0=B5?=
 =?UTF-8?q?=D1=80=D0=B6=D0=B4=D0=B5=D0=BD=D0=B8=D0=B5=20v0.0.73=20=D0=BD?=
 =?UTF-8?q?=D0=B0=20=D0=BF=D1=80=D0=BE=D0=B4=D0=B5=20=E2=80=94=20SSRF/path?=
 =?UTF-8?q?=20traversal=20=D0=B7=D0=B0=D1=89=D0=B8=D1=82=D0=B0=20+=20?=
 =?UTF-8?q?=D1=80=D0=B5=D0=B3=D1=80=D0=B5=D1=81=D1=81=20=D0=BF=D0=BE=D0=B4?=
 =?UTF-8?q?=D0=BF=D0=B0=D0=BF=D0=BE=D0=BA=20OK?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 History/code-fixes/2026-08-24-v073-security-fixes.md | 7 +++++++
 1 file changed, 7 insertions(+)

diff --git a/History/code-fixes/2026-08-24-v073-security-fixes.md b/History/code-fixes/2026-08-24-v073-security-fixes.md
index 7b3256d..4b93070 100644
--- a/History/code-fixes/2026-08-24-v073-security-fixes.md
+++ b/History/code-fixes/2026-08-24-v073-security-fixes.md
@@ -37,3 +37,10 @@ _Критично перепроверены в коде; спорные пун
 - `_safe_name` unit-тест — 8/8 OK.
 - `create_app()` стартует (VERSION 0.0.73).
 - Версия 0.0.72 → 0.0.73.
+
+## Проверка на проде (редеплой 20:00, v0.0.73)
+- SSRF: `POST /api/upload_refs` с `url=http://169.254.169.254/...` → `{"count":0,"ok":true}` (URL отклонён).
+- Path traversal: `name="../../evil.txt"` → `{"count":0,"ok":true}` (имя отклонено).
+- SID теперь полный 32 hex (128 бит) — виден в ответе.
+- Регресс: папка с подпапкой + кириллицей → «Обработано 2 файлов: 4.3с»,
+  в ZIP `Подпапка/Договор_1.md` + `Акт.md` (пути сохранены, `_safe_name` не сломал подпапки).