Исправления загрузки файлов по ссылке
Файлы, загруженные по внешней ссылке, снова сохраняются с исходным именем и расширением (в 1.0.7 они сохранялись как solverweb_XXXX без расширения и не распознавались как изображения).
Снова поддерживаются ссылки с перенаправлением, например http на https.
Исправлена фатальная ошибка PHP 8 при сохранении одиночного (не множественного) поля, переданного строкой-ссылкой.
При сохранении файлов, загруженных по ссылке, временно отключается сжатие модуля dev2fun.imagecompress (если он установлен): импорт больших галерей больше не прерывается по таймауту.
Безопасность
Произвольные ID файлов и локальные пути внутри /upload в значении поля принимаются только от администратора или из CLI; остальным пользователям доступны только файлы, уже прикреплённые к полю.
Временные файлы от пользователей без прав администратора принимаются только из папки штатного загрузчика текущей сессии; файлы со скриптовым расширением отклоняются.
Загрузка по ссылке: каждое перенаправление проверяется отдельно (только http/https, порты 80/443, только публичные адреса), заблокированы диапазон 100.64.0.0/10 и IPv4, встроенные в IPv6-адреса.
Загрузка по ссылке: файл пишется сразу на диск, ответ сверх 50 МБ отбрасывается, за одно сохранение обрабатывается не более 100 ссылок.