- _vcard_escape elimina el retorno de carro crudo: cubre tanto el vCard como
SUMMARY/LOCATION del VEVENT (que reusan este escape), cerrando la inyeccion de
propiedades iCal/vCard via un \r sin \n.
- Middleware que rechaza las peticiones mutantes marcadas cross-site por el
navegador (Sec-Fetch-Site), cerrando el CSRF residual de los POST simples sin
preflight (p.ej. /api/refresh) que el TrustedHost no filtra.
- La cache DAV en disco (.cache/*.json, contiene PII) se crea con permisos 0600
via O_CREAT 0600 + os.chmod, sin depender del umask del proceso.
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
egutierrez
f5d15a9f7b