- CSRF real en las vistas mutadoras con @csrf_protect (el middleware global no
estaba activo; verificado: POST sin token -> 403). Se documenta el hueco global.
- bloquea acceso a temas de foros ocultos/borrados por URL directa (view_topic y reply)
- conteo de posts respeta borrados para moderadores (paginación correcta)
- tema bloqueado impide editar/borrar posts a no-moderadores (_topic_locked_for)
- moderador ve el formulario de respuesta en temas bloqueados (can_reply)
- filtro forum_safe: sanea el HTML también al renderizar (defensa en profundidad)
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Inna
89ea16ba4d