3.0.0.beta16：セキュリティリリース

お知らせ
1

セキュリティアップデート

このベータ版には、コミュニティおよびHackerOneから報告された問題に対する8件のセキュリティ修正が含まれています。

セキュリティ

  • グループSMTPからのBCCアクティブユーザーメール CVE-2022-46168
  • XSSを防ぐために、レンダリング前に保留中の投稿タイトルをサニタイズ CVE-2023-22454
  • トピックを表示できないユーザーに投稿数を公開しない CVE-2023-22453
  • レンダリング時にタグの説明内の引用符をエスケープする CVE-2023-22455
  • max_lengthバイパスを防ぐために、生の投稿本文の長さをチェックする CVE-2022-23549
  • ユーザーのメールが変更または削除されたときにメールトークンを削除する CVE-2022-46177
  • ReDOSを防ぐために、正規表現gsubの代わりにrstripを使用する CVE-2022-23548
  • send_digestをPOSTリクエストに変換する CVE-2022-23546

テーマコンポーネントのセキュリティアップデート

Mermaidテーマコンポーネントもセキュリティ修正を受けました。Discourseに加えて、テーマコンポーネントも更新してください。

  • エラーをプレーンテキストとしてレンダリングする CVE-2022-46180

追加機能と修正

クリックして展開

機能

  • 実験的なハッシュタグオートコンプリートを新しいサイトのデフォルトにする

バグ修正

  • ブックマークの自動削除設定の使用法とデフォルト値
  • サイズを取得する際にノードにsrc属性があることを確認する

UXの変更

  • より説明的なサイドバータイトル、大文字小文字
  • トピック管理ポップアップメニューの位置を修正
  • 未使用の文字列を削除
  • オートコンプリートのずれを修正

パフォーマンス

  • メッセージバスログアウト用のユーザー固有チャネルを使用
「いいね！」 11