Esto debería estar resuelto desde SECURITY: Download allowlist for uploaded files · discourse/discourse@9c0642a · GitHub
Ahora tenemos lógica centralizada para determinar qué archivos deben mostrarse ‘en línea’. Esto significa que los PDF se muestran consistentemente en línea y algunos tipos de archivos menos seguros se sirven consistentemente como descargas. Estos cambios deberían funcionar en todo tipo de almacenamiento de subidas (local y S3, con o sin CDN).