Segurança
- Uma ligação maliciosa já não corre a partir do endereço de uma denúncia. O membro que denuncia fornece este endereço, que é depois mostrado ao moderador: um endereço «javascript:» corria no seu navegador ao clicar. A mesma proteção aplica-se às ligações de um feed RSS (widget), de um diaporama, do diretório de ligações, dos parceiros e a qualquer endereço que o site construa: só passam endereços web, de e-mail, de telefone ou internos do site.
- Eliminar um cargo, criar a chave do bot do Discord, fechar um classificado ou trancar um tópico do fórum faziam-se com uma simples ligação: bastava uma ligação maliciosa para desencadear a ação para um administrador, um autor ou um moderador com sessão iniciada. Estas ligações têm agora um token de segurança.
- A demonstração blindada. A sua conta partilhada (demo / demo) é administradora: podia ligar o modo de depuração para todos os visitantes, percorrer e ler os seus ficheiros, o registo de erros e o phpinfo, ver a chave da tarefa agendada, mudar as definições do site, criar chaves da API, banir para sempre endereços IP ou membros, desviar o endereço PayPal das doações e apagar imagens que a reposição não conseguia trazer de volta. Numa demonstração, qualquer ação para uma zona bloqueada é recusada antes de chegar ao seu ecrã, os ecrãs sensíveis mostram um aviso, o gestor de ficheiros só mostra uma árvore de exemplo, nenhum ficheiro é eliminado, e a reposição restaura também os mapas e os modos de jogo, os cargos das equipas, as notificações, os pontos e as permissões.
Corrigido
- Um ficheiro recusado no envio (extensão proibida, ou demonstração) fazia falhar a página (erro 500), por exemplo ao mudar o avatar: o campo diz agora porquê.
- As estatísticas sobre um período desmesurado (séculos, hora a hora) esgotavam a memória do servidor: o período e o número de pontos estão limitados.
- A exportação dos membros escrevia um aviso do PHP 8.5 por linha no registo.
- Na demonstração, o banner verde tapava as notificações, e a conta de emergência aparecia na lista de jogadores de uma equipa e na atividade do painel.
- Uma fina linha branca corria ao longo da margem direita do editor de texto em modo escuro (comentários, mensagens, administração): o editor pintava a sua zona de escrita de branco, e esse branco transbordava uma fração de píxel.