#15.4.0(2026-07-13)

## 新規/変更/改善

- サイト管理のセキュリティ設定にあるCSP（コンテンツセキュリティポリシー）の入力欄を複数行入力に対応し、長いポリシーを編集しやすくした
- CSPヘッダーをテーマのデザインが適用される公開ページにのみ出力するよう変更し、マイページや記事編集画面などで不具合が発生するのを防ぐようにした

## 不具合修正

- タグ名などの入力で前後の半角スペースが除去されずに保存されてしまう不具合を修正した
- 非公開ファイル配信を有効にしたサイトで、ファイルアイテムのダウンロードがエラーになる不具合を修正した

## セキュリティアップデート

(アプリケーションの修正)

- 公開サイトのクロスサイトスクリプティング（XSS）に関する脆弱性を修正した
- ログイン必須モードにおける、非公開ページの表示制御に関する問題を修正した

(ライブラリの更新)

- faraday 1.10.6
- CVE-2026-54297: 深くネストしたクエリパラメータによりスタックを枯渇させるサービス妨害（DoS）
- nokogiri 1.19.4
- GHSA-5prr-v3j2-97mh ほか計9件: XML処理におけるメモリ安全性の問題（解放済みメモリ参照・領域外読み取り等）
- crass 1.0.7
- GHSA-6jxj-px6v-747w ほか計4件: 不正なCSS入力によるサービス妨害（DoS）
- websocket-driver 0.8.2
- GHSA-2x63-gw47-w4mm: 不正なHostヘッダーによるサービス妨害（DoS）