V1.12.2: Verify that user-uploaded files - if required to be displayed or downloaded from the application - are served by either octet stream downloads, or from an unrelated domain, such as a cloud file storage bucket. Implement a suitable Content Security Policy (CSP) to reduce the risk from XSS vectors or other attacks from the uploaded file.

[Andreass2]

We do se serve file downloads as octet stream, so no changes is needed regarding this.

We are missing a Content Security Policy. Research and add a suitable CSP header to all requests.

This also affects "V14.4.3: " in #481 so mark that task as completed when done

[Ceredron]

Jeg er litt usikker på om vi kan implementere en god CSP gitt måten vi er brukt (som backend), eller om det er riktigere at det er Felles Arbeidsflate's CSP policy som gjelder. Jeg tror det er deres domene som vil kalle vårt API i så fall.

[Andreass2]

Leste litt om det og ser urelevant ut da vi kun tilbyr ett API. Om det er tilfellet så tenker jeg issue kan closes. Da har vi vurdert caset og konkludert med at det ikke blir relevant for vår del.

[Andreass2]

Konkluderte at dette er en setting som håndteres av frontend/webserver til frontendapplikasjonen