diff --git a/features/PROJ-81-anhang-online-vorschau.md b/features/PROJ-81-anhang-online-vorschau.md index 2de1a11..42b32f3 100644 --- a/features/PROJ-81-anhang-online-vorschau.md +++ b/features/PROJ-81-anhang-online-vorschau.md @@ -36,6 +36,7 @@ Mail-Anhänge lassen sich in `/mail/[id]` aktuell nur herunterladen (`downloadMa - Performance: PDF/Bild-Vorschau < 2s Ladezeit bei normaler Dateigröße - Security: Vorschau-Endpunkt muss denselben Auth-/Tenant-Check wie bestehender Download-Endpunkt durchlaufen - Browser Support: Chrome, Firefox, Safari, Edge +- **Pflege: `pdfjs-dist` regelmäßig aktuell halten.** Seit dem Fix zu BUG-81-3 läuft das PDF-Parsing über die Bibliothek `pdfjs-dist` im App-Origin (Web Worker, kein iframe/Browser-Sandbox mehr, siehe Implementation Notes unten). Das Sicherheitsniveau der PDF-Vorschau hängt damit direkt an der Code-Qualität dieser Dependency — ein Parser-Bug dort landet im App-Origin, nicht in einer isolierten Browser-Komponente. `pdfjs-dist` ist aktiv gepflegt (Basis des Firefox-eigenen PDF-Viewers) und regelmäßiges CVE-Ziel. Bei Major-/Security-Updates zeitnah aktualisieren, nicht auf den nächsten großen Dependency-Sweep (vgl. PROJ-79) warten. ---