- scan & releases/from-url: verbindung wird an die bereits validierte IP
gepinnt (node:http/https lookup-option), statt fetch erneut aufloesen zu
lassen. Schliesst DNS-rebinding/TOCTOU, mit dem ein lizenzierter Kunde
ueber die DNS seiner eigenen Domain interne Dienste/Cloud-Metadaten
erreichen koennte.
- releases/from-url folgt redirects jetzt manuell und validiert jeden hop
(protokoll + private-IP-guard); gitea-token nur an den ausgangs-host.
- pinnedRequest: settle-guard + body-cap loesen das promise auch bei
ueberlangen antworten (kein haengen).
- autodetect process(): kein blank-page mehr bei PCRE-fehler (fallback auf
original-HTML statt (string) null = "").
- cleanup: ungenutztes extract_iframe_src() entfernt; redundantes
&-replace in get_src() entfernt (DOMDocument dekodiert bereits).
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
ca0f2f2c32