#15.6.0(2026-08-05)

## 新規/変更/改善

- アクセス解析のPV計測方法を改善した。ページの読み込み途中で離脱した場合でも取りこぼしの起こりにくい実装に変更した。

## 不具合修正

- サイト管理＞ファイルで既存と同じ名前のファイルをアップロードすると、そのファイルの公開URLが変わってしまい、記事やテーマから参照していた箇所が表示できなくなる問題を修正した。
- カスタムページの拡張子付きURL（.rss など）に一部のRSSリーダーやツールでアクセスすると、想定と異なるContent-Typeヘッダがレスポンスされる問題を修正した。
- テーマを使用しない設定の場合に会員登録画面のreCAPTCHAが表示・動作せず登録を完了できない問題を修正した。
- 非公開サイト設定かつ非公開ファイル機能を利用しているサイトで、ログイン直後に表示したページの画像などが表示されない（403エラーになる）ことがある問題を修正した。
- 「ユーザーのログインには管理者による承認が必要」を有効にしている場合、本登録案内メールに関する導線を表示しないようにした。ユーザー登録画面の再送信リンク、およびサイト管理＞ユーザー詳細の「本登録確認メールを送信」ボタンを非表示にした。
- ファイル機能で相対パスによりファイルを参照した場合も、非公開ファイル（署名付きCookie）の閲覧が正しく行えるようにした。

## セキュリティアップデート

- loofah 2.25.1 → 2.25.2
- GHSA-8whx-365g-h9vv: 文字参照で分割された `javascript:` URIを除去できないXSS
- GHSA-9wjq-cp2p-hrgf: SVGの `href` 属性で参照先の制限を回避できるXSS
- GHSA-5qhf-9phg-95m2: セミコロンなしの数値文字参照によるXSS
- rails-html-sanitizer 1.7.0 → 1.7.1
- GHSA-cj75-f6xr-r4g7: 特定の設定でHTMLサニタイズをすり抜けるXSS
- Rails 8.1.3 → 8.1.3.1
- CVE-2026-66066: Active Storageの画像変換処理における任意ファイル読み取り・任意コード実行