Sicurezza
- Un link malevolo non viene più eseguito dall'indirizzo di una segnalazione. Il membro che segnala fornisce questo indirizzo, che viene poi mostrato al moderatore: un indirizzo «javascript:» veniva eseguito da lui al clic. La stessa protezione vale per i link di un feed RSS (widget), di un carosello, dell'elenco link, dei partner e per ogni indirizzo che il sito costruisce: passano solo gli indirizzi web, email, telefono o interni al sito.
- Eliminare un ruolo, creare la chiave del bot Discord, chiudere un annuncio o chiudere una discussione del forum si faceva con un semplice link: bastava un link malevolo per far scattare l'azione per un amministratore, un autore o un moderatore connesso. Questi link portano ora un token di sicurezza.
- La demo blindata. Il suo account condiviso (demo / demo) è amministratore: poteva attivare la modalità debug per tutti i visitatori, sfogliare e leggere i suoi file, il registro degli errori e phpinfo, vedere la chiave dell'attività pianificata, cambiare le impostazioni del sito, creare chiavi API, bannare definitivamente indirizzi IP o membri, deviare l'indirizzo PayPal delle donazioni, e cancellare immagini che il ripristino non poteva riportare. Su una demo, ogni azione verso una zona bloccata viene rifiutata prima di raggiungere la sua schermata, le schermate sensibili mostrano un avviso, il gestore di file mostra solo un albero di esempio, nessun file viene eliminato, e il ripristino rimette anche mappe e modalità di gioco, ruoli delle squadre, notifiche, punti e permessi.
Corretto
- Un file rifiutato al caricamento (estensione vietata, o demo) faceva bloccare la pagina (errore 500), per esempio cambiando il proprio avatar: ora il campo dice perché.
- Le statistiche su un periodo smisurato (secoli, ora per ora) esaurivano la memoria del server: il periodo e il numero di punti sono limitati.
- L'esportazione dei membri scriveva un avviso di PHP 8.5 per riga nel registro.
- Sulla demo, il banner verde copriva le notifiche, e l'account di emergenza compariva nell'elenco dei giocatori di una squadra e nell'attività del cruscotto.
- Una sottile linea bianca correva lungo il bordo destro dell'editor di testo in modalità scura (commenti, messaggistica, amministrazione): l'editor dipingeva di bianco la sua zona di scrittura, e quel bianco debordava di una frazione di pixel.