# 3.1.0.beta2: Correções de segurança, novos escopos de API e mais
**URL:** https://meta.discourse.org/t/3-1-0-beta2-security-fixes-new-api-scopes-and-more/252887
**Category:** Announcements
**Tags:** release-notes
**Created:** [Janeiro 25, 2023, 7:46pm UTC](https://meta.discourse.org/t/3-1-0-beta2-security-fixes-new-api-scopes-and-more/252887 "2023-01-25T19:46:51Z")
**Posts on this page:** 2
**Page:** 1
### Author:  [@pmusaraj](https://meta.discourse.org/u/pmusaraj)
#### Post date: [Janeiro 25, 2023, 7:46pm UTC](https://meta.discourse.org/t/3-1-0-beta2-security-fixes-new-api-scopes-and-more/252887/1 "2023-01-25T19:46:51Z")
Esta versão beta inclui várias correções de segurança para problemas relatados por nossa comunidade e pelo HackerOne. Ela também inclui melhorias nos escopos da API.
### Segurança
- Prevenir XSS em oneboxes locais ([CVE-2023-22468](https://github.com/discourse/discourse/security/advisories/GHSA-8mr2-xf8r-wr8m))
- O parâmetro `exclude_tags` poderia vazar quais tópicos tinham uma tag oculta específica ([CVE-2023-23624](https://github.com/discourse/discourse/security/advisories/GHSA-qgj5-g5vf-fm7q))
- Mostrar apenas listas de tags restritas para usuários autorizados ([CVE-2023-23620](https://github.com/discourse/discourse/security/advisories/GHSA-hvj9-g84x-5prx))
- Prevenir ReDoS na análise do user agent ([CVE-2023-23621](https://github.com/discourse/discourse/security/advisories/GHSA-mrfp-54hf-jrcv))
- Prevenir ReDoS tornando a regex de URL SSH inequívoca (CVE pendente)
- Remover bypass para `base_url` ([CVE-2023-23615](https://github.com/discourse/discourse/security/advisories/GHSA-7mf3-5v84-wxq8))
- Limitar a contagem de caracteres de solicitações de associação de grupo ([CVE-2023-23616](https://github.com/discourse/discourse/security/advisories/GHSA-6xff-p329-9pgf))
- Limitar o comprimento de rascunhos ([CVE-2023-22739](https://github.com/discourse/discourse/security/advisories/GHSA-rqgr-g6v7-jcfc))
- Limitar rascunhos de chat e contagem pré-carregada ([CVE-2023-22740](https://github.com/discourse/discourse/security/advisories/GHSA-pwj4-rf62-p224))
- Atualizar Rails para v7.0.4.1 (ver anúncio em [rubyonrails.org](https://rubyonrails.org/2023/1/17/Rails-Versions-6-0-6-1-6-1-7-1-7-0-4-1-have-been-released))
- Definir tags como padrão para mostrar a contagem de tópicos em categorias irrestritas (CVE pendente)
### Novos Recursos
- Adicionar escopos de API para suspender usuários, criar convites e pesquisar
- Adicionar melhor suporte a onebox do TikTok
- Permitir que administradores excluam permanentemente revisões
- Adicionar configuração que permite que usuários TL4 excluam postagens
- Permitir que usuários TL4 vejam tópicos não listados
- Mostrar mais contexto em oneboxes de tópicos do Discourse para Discourse
## Recursos e Correções Adicionais
> **Clique para expandir**
>
> - Permitir a alteração do slug na criação de canal de chat
> - Introduzir `pg_force_readonly_mode` GlobalSetting
> - Adicionar filtro `in:polls` à pesquisa
> - Adicionar tarefa rake para marcar o formato antigo de hashtag para reprocessamento
> - Verificar assinaturas de webhook de e-mail
> - Estender o escopo da API de atualização de tópicos para permitir atualizações de status
> - Aumentar o cache de avatar de redirecionamento para 1 dia
> - Adicionar instrumentação básica à fila de adiamento
> - Permitir que proprietários de grupos promovam mais proprietários
>
> ### Correções de Bugs
>
> - `lazy_yt_enabled` não afeta o motor
> - Excluir revisáveis associados a postagens automaticamente
> - Seleção de texto quebra a abertura de links em novas abas
> - Não adicionar tags `use`/`svg` vazias em `ExcerptParser`
> - Ignorar e-mail se em branco ao sincronizar atributos SSO.
> - Usuário TL4 não é redirecionado para o mais recente ao excluir tópico
> - Não contar postagem excluída para segurança de referência de upload
> - Adiciona inclinação negativa ao deslocamento do popper
> - `data-popper-reference-hidden` muito amplo
> - Corrigir margem em `mini-tag-chooser`
> - Previne que `msg-actions` mostre texto de hover
> - Gera slug automático para canais excluídos
> - Usuário TL4 pode ver tópicos excluídos
> - Permitir que modais rolem no celular quando o teclado está aberto
> - Não exibir opções exclusivas para a equipe para não-equipe no menu em massa de membros do grupo
> - Mover configuração de tag mínima para a seção de tags na edição de categoria
> - Excluir hosts incorporáveis mal configurados
> - Consultar `UploadReference` em `UploadSecurity` para uploads existentes
> - Mudar o tipo de configurações do site de domínio de e-mail para `host_list`
> - Não substituir o nome do canal quando a categoria é selecionada
> - Enfileirar `notify_mailing_list_subscribers` quando a postagem é recuperada
> - Alterar a redação de título para `name` na página sobre do canal
> - Novo suporte a hashtags para narrativa avançada do bot de narrativa
> - Restaurar transformação de propriedade de classe do babel para temas
> - Validar o parâmetro de tags de `TopicQuery`
> - Exibir ícone de tag do onebox do Discourse corretamente no chat
> - Corrigir migração incorreta de configuração de hashtag
> - Usar hashtags em PMs de arquivo de canal, se disponíveis
> - Adicionar migração para reindexar índices inválidos
> - Garantir que a extração de enquetes não seja tentada se o corpo da postagem estiver ausente
> - Pré-carregar atributos da barra lateral do usuário quando `?enable_sidebar=1`
> - Prevenir atualizações concorrentes em `top_topics`
> - Redirecionamento de logout de plugin compatível com Ruby 2
> - Corrigir teste instável resultante de argumentos de palavra-chave de `PostAlerter`
> - Regressão no escopo da mensagem `MessageBus` de `TopicTrackingState`.
> - Melhorar relatórios de erro e modos de falha para arquivamento de canal
>
> ### Mudanças de UX
>
> - Remover espaço em branco extra no helper de pesquisa
> - Prevenir overflow de status do cartão do usuário
> - Melhorar layout e alinhamento do botão em massa
> - Correções e ajustes para navegação do usuário
> - Definir histórico de penalidades como fixo
> - Ocultar data na linha do tempo ao quebrar linha
> - Remover margem esquerda
> - Adicionar margem à palavra-chave de pesquisa
> - Mudar layouts de caixas de categorias de flexbox para grid
> - Prevenir que o texto do botão de contexto de pesquisa quebre linha
> - Adicionar espaço ausente e outros ajustes menores de pesquisa
> - Reordenar campos do canal de chat
> - Estilizar pop-up de citação/compartilhamento, corrigir jitter de hover
> - Refatorar alinhamento do ícone de tag no onebox do Discourse
> - Corrigir problemas de alinhamento com autocompletar
> - Simplificar avatar na lista de tópicos
>
> ### Desempenho
>
> - Não analisar postagens para menções quando o status do usuário está desativado
> - Consultas N+1 ao visualizar tags
>
> ### Acessibilidade
>
> - As tags do Discourse devem ter uma função e rótulo
> - Adicionar `aria-labels` para campos de texto de sinalização
> - Remover tags de título do perfil do usuário
> - Adicionar link de pulo secundário aos perfis de usuário
> - Títulos de página de usuário mais descritivos
> - Adicionar tags `aria` à nova navegação do usuário
---
### Author:  [@pmusaraj](https://meta.discourse.org/u/pmusaraj)
#### Post date: [Janeiro 25, 2023, 7:46pm UTC](https://meta.discourse.org/t/3-1-0-beta2-security-fixes-new-api-scopes-and-more/252887/2 "2023-01-25T19:46:51Z")
### Mas espere, ainda tem mais!
Fazemos o nosso melhor para destacar novos recursos e alterações para você, mas sempre há muitas alterações para descrever. Para uma lista completa de novos recursos, correções de bugs, melhorias de UX e muito mais, certifique-se de revisar os Recursos Adicionais e Correções listados abaixo.
## Melhorias de Plugin
### discourse-animated-avatars
> **Correções de Bugs**
>
> - Serializador de usuário padrão animado avatar para nulo
### discourse-assign
> **Novos Recursos**
>
> - Abra automaticamente o seletor de atribuídos
> - Mostre o status do usuário ao pesquisar atribuídos
### discourse-calendar
> **Novos Recursos**
>
> - Adicione a opção mínima aos eventos
> **Correções de Bugs**
>
> - O evento não carrega após criá-lo
> - Adicione tradução ausente para o título da notificação push de lembrete de evento
### discourse-characters-required
> **Correções de Bugs**
>
> - Importação de componente
### discourse-code-review
> **Correções de Bugs**
>
> - Permitir diff com o primeiro commit
> - Ignorar eventos de PR irrelevantes
### discourse-encrypt
> **Correções de Bugs**
>
> - Pesquisa de menção quebrada
### discourse-prometheus-alert-receiver
> **Desempenho**
>
> - Remova a consulta de alertas abertos/disparando que não é mais usada no lado do cliente.
### discourse-zendesk-plugin
> **Alterações de UX**
>
> - Melhore os nomes e descrições das configurações