places.mjs schrieb bisher nach public/models/places/<id>.glb relativ zu process.cwd() und nahm jede id ungeprüft an. Die neue, exportierte placeTarget(id) löst den Pfad stattdessen von import.meta.url ab (egal von wo das Skript aufgerufen wird) und lehnt IDs außerhalb von [a-z0-9-]+ ab, bevor daraus ein Pfad wird, der aus public/models/ places/ herausführen könnte. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>