Sicherheit
- Ein bösartiger Link wird nicht mehr aus der Adresse einer Meldung ausgeführt. Das meldende Mitglied liefert diese Adresse, die dann dem Moderator angezeigt wird: Eine Adresse „javascript:“ wurde bei ihm beim Klick ausgeführt. Derselbe Schutz gilt für die Links eines RSS-Feeds (Widget), einer Diashow, des Linkverzeichnisses, der Partner und jede Adresse, die die Website baut: Nur Web-, E-Mail-, Telefon- oder websiteinterne Adressen kommen durch.
- Das Löschen einer Rolle, das Anlegen des Schlüssels des Discord-Bots, das Schließen einer Kleinanzeige oder das Sperren eines Forenthemas geschahen über einen einfachen Link: Ein bösartiger Link genügte, um die Aktion für einen angemeldeten Administrator, Autor oder Moderator auszulösen. Diese Links tragen jetzt ein Sicherheitstoken.
- Die Demo abgeriegelt. Ihr geteiltes Konto (demo / demo) ist Administrator: Es konnte den Debug-Modus für alle Besucher einschalten, seine Dateien, das Fehlerprotokoll und phpinfo durchsuchen und lesen, den Schlüssel der geplanten Aufgabe sehen, die Einstellungen der Website ändern, API-Schlüssel anlegen, IP-Adressen oder Mitglieder dauerhaft sperren, die PayPal-Adresse der Spenden umleiten und Bilder löschen, die das Zurücksetzen nicht zurückbringen konnte. Auf einer Demo wird jede Aktion in Richtung eines gesperrten Bereichs abgelehnt, bevor sie seinen Bildschirm erreicht, sensible Bildschirme zeigen einen Hinweis, der Dateimanager zeigt nur einen Beispielbaum, keine Datei wird gelöscht, und das Zurücksetzen stellt auch Karten und Spielmodi, Rollen der Teams, Benachrichtigungen, Punkte und Berechtigungen wieder her.
Behoben
- Eine beim Hochladen abgelehnte Datei (verbotene Endung, oder Demo) ließ die Seite abstürzen (Fehler 500), zum Beispiel beim Ändern des Avatars: Das Feld sagt jetzt warum.
- Statistiken über einen maßlosen Zeitraum (Jahrhunderte, stundenweise) erschöpften den Speicher des Servers: Zeitraum und Zahl der Punkte sind begrenzt.
- Der Export der Mitglieder schrieb eine Warnung von PHP 8.5 pro Zeile ins Protokoll.
- Auf der Demo verdeckte das grüne Banner die Benachrichtigungen, und das Notfallkonto erschien in der Spielerliste eines Teams und in der Aktivität des Dashboards.
- Ein dünner weißer Strich lief im Dunkelmodus am rechten Rand des Texteditors entlang (Kommentare, Nachrichten, Verwaltung): Der Editor malte seine Eingabefläche weiß, und dieses Weiß ragte um einen Bruchteil eines Pixels hinaus.