Теперь пользователи могут выбрать тему, которую они хотят разместить на своём профиле. Эта тема будет отображаться на карточке пользователя, а также на странице профиля. Добавить тему можно в разделе «Настройки» → вкладка «Профиль».
Мы постоянно ищем способы сделать Discourse ещё более безопасным. В конце прошлого года мы добавили поддержку политики безопасности контента (Content Security Policy, CSP) в Discourse. CSP помогает смягчать XSS-атаки — одну из самых распространённых уязвимостей в веб-разработке. Чтобы обеспечить полную поддержку существующих функций Discourse и плагинов, мы включали директиву unsafe-eval. Сейчас мы полностью убрали использование функции eval() из Discourse в продакшн-среде, а также из наших официальных плагинов, поэтому удалили unsafe-eval из нашей CSP, сделав её ещё строже.
Хэширование ключей API в базе данных
Ключи API теперь видны только при создании. После этого в базе данных хранятся только первые четыре символа для идентификации, а также SHA256-хэш полного ключа. Это упрощает аудит использования ключей и гарантирует, что в случае утечки базы данных злоумышленники не получат доступ к работающему сайту.
Перенос поддержки Internet Explorer в основной плагин
Discourse прекратит поддержку Internet Explorer в июне 2020 года. (Официальное объявление будет сделано в середине января). В рамках подготовки к этому код, специфичный для Internet Explorer, перенесён в отдельный плагин, что упростит его удаление в июне.
Предупреждение при установке компонента темы без добавления к теме
При создании или установке компонента темы пользователи могут забыть, что его необходимо добавить к теме, чтобы он стал активным. Только после первоначального создания/установки пользователи будут получать предупреждение, если попытаются покинуть страницу компонента темы, не добавив его к какой-либо теме.
Но это еще не всё! Мы стараемся выделять для вас новые функции и изменения, но их всегда слишком много, чтобы описать все подробно. Для полного списка новых функций, исправлений ошибок, улучшений UX и прочего обязательно ознакомьтесь с дополнительными функциями и исправлениями, перечисленными ниже.
Обновления безопасности
Эта бета-версия включает 6 исправлений уязвимостей, о которых сообщили наши участники сообщества и HackerOne.
Исправлена проверка разрешений при отзыве ключей API пользователя
Уязвимость в WildcardUrlChecker
Обновление rack-mini-profiler для предотвращения возможной XSS-атаки
Удалены обработчики событий из SVG-файлов
Обеспечено, что во встроенном виде могут быть только изображения
