Seguridad
- Un enlace malicioso ya no se ejecuta desde la dirección de una denuncia. El miembro que denuncia proporciona esta dirección, que luego se muestra al moderador: una dirección «javascript:» se ejecutaba en su navegador al hacer clic. La misma protección se aplica a los enlaces de un canal RSS (widget), de un carrusel, del directorio de enlaces, de los socios y a cualquier dirección que construya el sitio: solo pasan las direcciones web, de correo, de teléfono o internas del sitio.
- Eliminar un rol, crear la clave del bot de Discord, cerrar un anuncio clasificado o bloquear un tema del foro se hacían con un simple enlace: bastaba un enlace malicioso para desencadenar la acción para un administrador, un autor o un moderador conectado. Estos enlaces llevan ahora un token de seguridad.
- La demo, blindada. Su cuenta compartida (demo / demo) es administradora: podía activar el modo de depuración para todos los visitantes, recorrer y leer sus archivos, el registro de errores y phpinfo, ver la clave de la tarea programada, cambiar los ajustes del sitio, crear claves de API, banear para siempre direcciones IP o miembros, desviar la dirección de PayPal de las donaciones y borrar imágenes que el restablecimiento no podía devolver. En una demo, cualquier acción hacia una zona bloqueada se rechaza antes de llegar a su pantalla, las pantallas sensibles muestran un aviso, el gestor de archivos solo muestra un árbol de ejemplo, no se elimina ningún archivo, y el restablecimiento restaura también los mapas y modos de juego, los roles de los equipos, las notificaciones, los puntos y los permisos.
Corregido
- Un archivo rechazado al subirlo (extensión prohibida, o demo) hacía fallar la página (error 500), por ejemplo al cambiar el avatar: ahora el campo dice por qué.
- Las estadísticas sobre un periodo desmesurado (siglos, hora a hora) agotaban la memoria del servidor: el periodo y el número de puntos están limitados.
- La exportación de los miembros escribía una advertencia de PHP 8.5 por fila en el registro.
- En la demo, el banner verde tapaba las notificaciones, y la cuenta de emergencia aparecía en la lista de jugadores de un equipo y en la actividad del panel.
- Una fina línea blanca recorría el borde derecho del editor de texto en modo oscuro (comentarios, mensajería, administración): el editor pintaba su zona de escritura de blanco, y ese blanco se salía una fracción de píxel.