Uptime Kuma 2.5.9: исправлены RSS-кеш и таймауты проверок

В разделе безопасности разработчики отмечают устранение отравления RSS-кеша — под идентификатором GHSA-86ch-2247-gr56. Связанное изменение заменяет устаревший apicache реализацией на основе http-cache-semantics. Новый ключ кеша учитывает адрес хоста, а по умолчанию также заголовки X-Forwarded-Host и X-Forwarded-Proto. Это разделяет ответы, сформированные для разных значений этих заголовков; в PR добавлены проверки, что кешированный RSS-ответ для одного хоста не выдаётся запросу для другого. Оценку серьёзности и диапазон уязвимых версий по кратким release notes установить нельзя.

Исправлен резервный расчёт таймаута: когда значение отсутствовало, было равно нулю или отрицательным, программа записывала миллисекунды в поле, рассчитанное на секунды. Теперь резервное значение составляет 80% интервала без лишнего множителя 1000. В добавленном разработчиками тесте для интервала 60 секунд ожидается таймаут HTTP-запроса 48 секунд. Правка касается именно автоматической подстановки, а не всех явно заданных таймаутов.

Push-мониторы теперь берут счётчик повторных попыток из последнего сохранённого сигнала heartbeat по порядку записей, а не по временной метке. Это устраняет ситуацию, когда параллельная запись монитором могла отменить сброс счётчика после успешного push-сигнала. Для администратора важно, что следующий сбой после восстановления снова начинает отсчёт попыток, а не продолжает устаревший.

Ещё одна правка относится к отображению повторяющихся окон обслуживания. Их время теперь преобразуется в настроенный для обслуживания часовой пояс без ошибочного сохранения локального времени браузера. Например, описанный в PR интервал с началом в 05:00 UTC больше не должен показываться клиенту в Чикаго как 00:00 с подписью UTC. Изменение касается представления времени; его не следует трактовать как переработку серверного планировщика.

На публичной странице статуса также убран дублирующий таймер обновления. В релиз включено обновление зависимостей. Удельта не проводила собственных испытаний этой версии: сведения об исправлениях основаны на официальном выпуске и включённых в него PR.