From 9948073b25797e45665da6f978de4f2c8f9cd004 Mon Sep 17 00:00:00 2001
From: Daniel Michelberger <dml@kq-pwr.de>
Date: Thu, 6 Aug 2026 17:08:21 +0200
Subject: [PATCH] fix: Avatar-Upload auf 5 MB begrenzen
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

users.avatar.maxSize stand auf 0 (unbegrenzt) — Ressourcenrisiko durch
beliebig große Uploads. Migration setzt das ursprüngliche Limit zurück.
---
 .../1754500100_users_avatar_maxsize.js          | 17 +++++++++++++++++
 1 file changed, 17 insertions(+)
 create mode 100644 backend/pb_migrations/1754500100_users_avatar_maxsize.js

diff --git a/backend/pb_migrations/1754500100_users_avatar_maxsize.js b/backend/pb_migrations/1754500100_users_avatar_maxsize.js
new file mode 100644
index 0000000..1695b3d
--- /dev/null
+++ b/backend/pb_migrations/1754500100_users_avatar_maxsize.js
@@ -0,0 +1,17 @@
+/// <reference path="../pb_data/types.d.ts" />
+
+// Das Avatar-Feld stand auf maxSize 0 — also unbegrenzt. Das ist ein
+// Ressourcenrisiko: Ein einzelner Upload könnte beliebig groß sein.
+// Zurück auf die ursprünglichen 5 MB.
+
+migrate((app) => {
+    const users = app.findCollectionByNameOrId('users')
+    const avatar = users.fields.getByName('avatar')
+    avatar.maxSize = 5242880
+    app.save(users)
+}, (app) => {
+    const users = app.findCollectionByNameOrId('users')
+    const avatar = users.fields.getByName('avatar')
+    avatar.maxSize = 0
+    app.save(users)
+})