Isso deve ter sido resolvido desde SECURITY: Download allowlist for uploaded files · discourse/discourse@9c0642a · GitHub
Agora temos lógica centralizada para determinar quais arquivos devem ser mostrados ‘inline’. Isso significa que PDFs são consistentemente mostrados inline, e alguns tipos de arquivo menos seguros são consistentemente servidos como downloads. Essas mudanças devem funcionar em todos os tipos de armazenamento de upload (local e S3, com ou sem CDNs).