Release TeamVault 3.2.6

.github/dependabot.yml

@@ -0,0 +1,26 @@
+version: 2
+updates:
+  - package-ecosystem: composer
+    directory: /
+    schedule:
+      interval: monthly
+    open-pull-requests-limit: 5
+    groups:
+      composer-development-dependencies:
+        dependency-type: development
+        update-types:
+          - minor
+          - patch
+
+  - package-ecosystem: github-actions
+    directory: /
+    schedule:
+      interval: monthly
+    open-pull-requests-limit: 5
+    groups:
+      github-actions:
+        patterns:
+          - "*"
+        update-types:
+          - minor
+          - patch

.github/pull_request_template.md

@@ -1,6 +1,11 @@
 ## Maintainer Checklist
 
+- [ ] The scope, user impact, and compatibility implications are described.
+- [ ] Security-sensitive inputs, outputs, capabilities, nonces, SQL, and filesystem paths were reviewed where applicable.
+- [ ] Regression coverage was added for fixes and edge cases.
 - [ ] Version fields remain aligned when this is a release change.
-- [ ] `composer lint` passes.
-- [ ] `composer test` passes.
+- [ ] `composer validate --strict`, `composer audit --locked`, and `composer ci` pass.
+- [ ] JavaScript syntax/tests and WordPress Plugin Check pass.
+- [ ] Documentation, changelog, localized release summaries, and security notes are synchronized.
 - [ ] WordPress.org package-only files remain separate from repository-only docs.
+- [ ] The runtime archive was inspected for forbidden files and secrets.

AGENTS.md

@@ -76,4 +76,4 @@ For release-sensitive changes, run WordPress Plugin Check against a clean filter
 
 Runtime packages must exclude repository metadata, tests, docs, Composer files, CI configuration, `.wordpress-org/`, `.env*`, `auth.json`, caches, coverage, `node_modules`, `vendor`, and prebuilt ZIP files. WordPress.org listing assets are synchronized separately.
 
-Use concise imperative commit messages. This public source mirror does not accept external pull requests; maintainer changes may land directly on `main` only after the complete release gate passes and the remote branch is still aligned. Never force-push or bypass failed checks. Keep CI green and call out any check that could not be run locally.
+Use concise imperative commit messages. This public source mirror does not accept external pull requests; maintainer changes use internal pull requests so protected-branch checks and CodeQL complete before merge. Never force-push, bypass failed checks, or disable protection to land a release. Keep CI green and call out any check that could not be run locally.

CITATION.cff

@@ -1,8 +1,17 @@
 cff-version: 1.2.0
 message: "If you use this software, please cite it as below."
 title: "Mikesoft TeamVault"
+abstract: "Private document management for WordPress teams, with protected storage and granular access control."
 authors:
   - family-names: Gasperini
     given-names: Michael
 url: "https://github.com/TheStreamCode/mikesoft-teamvault"
-license: GPL-2.0
+repository-code: "https://github.com/TheStreamCode/mikesoft-teamvault"
+version: "3.2.6"
+date-released: "2026-08-08"
+keywords:
+  - WordPress
+  - document management
+  - access control
+  - private storage
+license: GPL-2.0-or-later

CONTRIBUTING.md

@@ -11,6 +11,7 @@ This repository is a public source mirror for the Mikesoft TeamVault plugin.
 - External pull requests are not accepted.
 - GitHub Issues are not the support channel for the plugin.
 - End-user support and bug reports should go through the [official WordPress.org support forum](https://wordpress.org/support/plugin/mikesoft-teamvault/).
+- Maintainer changes use internal pull requests so required CI and security checks run before protected `main` is updated.
 
 ## What This Repository Is For
 

README.de.md

@@ -11,7 +11,7 @@
 
 Privater Dokumenten-Arbeitsbereich für WordPress-Teams, Agenturen und Betriebsabläufe, die eine kontrollierte Dateifreigabe außerhalb der Mediathek benötigen.
 
-Aktuelle Plugin-Version: `3.2.5`.
+Aktuelle Plugin-Version: `3.2.6`.
 
 Direkt über WordPress.org verfügbar und für aktuelle WordPress-Versionen gepflegt.
 
@@ -61,6 +61,8 @@ Governance-Funktionen (alle kostenlos, seit 2.6):
 
 ## Neueste Version
 
+Version `3.2.6` stärkt die Upload-Eingrenzung und die Zuverlässigkeit von ZIP-Exporten, korrigiert Randfälle bei REST-Governance-Einstellungen und der Multisite-Aktivierung und hält Werkzeugleistenaktionen in gängigen WordPress-Desktop-Layouts zugänglich. Außerdem verbessert sie die Präsentation und Governance des Repositorys. Konfigurationsänderungen sind nicht erforderlich.
+
 Version `3.2.5` schließt die in 3.2.4 begonnene Ausgabekodierung ab: Das Detailfenster maskiert die gespeicherte Dateiendung nun vor der Darstellung. Der Wert ist durch die Upload- und Reindex-Validierung bereits auf `[a-z0-9]` beschränkt; es handelt sich also um Verteidigung in der Tiefe und nicht um die Behebung einer ausnutzbaren Schwachstelle. Konfigurationsänderungen sind nicht erforderlich.
 
 Version `3.2.4` härtet die Auslieferung privater Dateien, indem No-Cache-Header beibehalten und Speicherpfade aus Diagnoseprotokollen ferngehalten werden. Browserziele sind auf HTTP(S)-URLs gleichen Ursprungs beschränkt, die Spracheinstellung verwendet eine ausdrückliche Positivliste und wiederholte Berechtigungsprüfungen nutzen während einer Anfrage zwischengespeicherte Ordner-, Regel- und Gruppenabfragen. CI, Paketfilter, Sicherheitshinweise sowie Entwicklungs- und Veröffentlichungsdokumentation wurden ebenfalls verbessert. Es sind keine Konfigurationsänderungen erforderlich.

README.es.md

@@ -11,7 +11,7 @@
 
 Espacio de trabajo de documentos privados para equipos, agencias y operaciones de WordPress que necesitan compartir archivos de forma controlada fuera de la Biblioteca de medios.
 
-Versión actual del plugin: `3.2.5`.
+Versión actual del plugin: `3.2.6`.
 
 Disponible directamente en WordPress.org y mantenido para las versiones actuales de WordPress.
 
@@ -61,6 +61,8 @@ Capacidades de gobernanza (todas gratuitas, desde la versión 2.6):
 
 ## Última versión
 
+La versión `3.2.6` refuerza la contención de las subidas y la fiabilidad de las exportaciones ZIP, corrige casos límite en los ajustes de gobernanza REST y la activación multisitio, y mantiene accesibles las acciones de la barra de herramientas en los diseños de escritorio habituales de WordPress. También mejora la presentación y la gobernanza del repositorio. No se requieren cambios de configuración.
+
 La versión `3.2.5` completa el trabajo de codificación de salida iniciado en la 3.2.4: el panel de detalles del archivo ahora escapa la extensión almacenada antes de mostrarla. El valor ya está limitado a `[a-z0-9]` por la validación de subida y reindexación, por lo que se trata de defensa en profundidad y no de la corrección de una vulnerabilidad explotable. No se requieren cambios de configuración.
 
 La versión `3.2.4` refuerza la entrega de archivos privados al conservar las cabeceras no-cache y evitar que las rutas de almacenamiento aparezcan en los registros de diagnóstico. Los destinos del navegador se limitan a URL HTTP(S) del mismo origen, el ajuste de idioma utiliza una lista permitida explícita y las comprobaciones repetidas de permisos reutilizan durante la petición las consultas de carpetas, reglas y grupos. También se han reforzado la CI, los filtros de empaquetado, las indicaciones de seguridad y la documentación de desarrollo y publicación. No se requieren cambios de configuración.

README.fr.md

@@ -11,7 +11,7 @@
 
 Espace de travail documentaire privé pour les équipes, agences et services d'exploitation WordPress qui ont besoin d'un partage de fichiers contrôlé en dehors de la Médiathèque.
 
-Version actuelle du plugin : `3.2.5`.
+Version actuelle du plugin : `3.2.6`.
 
 Disponible directement sur WordPress.org et maintenu pour les versions actuelles de WordPress.
 
@@ -61,6 +61,8 @@ Fonctionnalités de gouvernance (toutes gratuites, depuis la 2.6) :
 
 ## Dernière version
 
+La version `3.2.6` renforce le confinement des téléversements et la fiabilité des exports ZIP, corrige des cas limites dans les réglages de gouvernance REST et l'activation multisite, et maintient les actions de la barre d'outils accessibles dans les dispositions de bureau WordPress courantes. Elle améliore également la présentation et la gouvernance du dépôt. Aucune modification de configuration n'est nécessaire.
+
 La version `3.2.5` achève le travail d'encodage des sorties entamé en 3.2.4 : le panneau de détails du fichier échappe désormais l'extension enregistrée avant de l'afficher. Cette valeur est déjà limitée à `[a-z0-9]` par la validation de téléversement et de réindexation ; il s'agit donc d'une défense en profondeur et non de la correction d'une faille exploitable. Aucune modification de configuration n'est nécessaire.
 
 La version `3.2.4` renforce la distribution des fichiers privés en conservant les en-têtes no-cache et en empêchant l'apparition des chemins de stockage dans les journaux de diagnostic. Les destinations du navigateur sont limitées aux URL HTTP(S) de même origine, le réglage de la langue utilise une liste d'autorisation explicite et les contrôles d'autorisation répétés réutilisent, pendant la requête, les recherches de dossiers, de règles et de groupes. La CI, les filtres de paquetage, les consignes de sécurité et la documentation de développement et de publication ont également été renforcés. Aucune modification de configuration n'est nécessaire.

README.it.md

@@ -11,7 +11,7 @@
 
 Spazio di lavoro documentale privato per team, agenzie e reparti operativi WordPress che hanno bisogno di condividere file in modo controllato al di fuori della Libreria Media.
 
-Versione attuale del plugin: `3.2.5`.
+Versione attuale del plugin: `3.2.6`.
 
 Disponibile direttamente su WordPress.org e mantenuto per le versioni correnti di WordPress.
 
@@ -61,6 +61,8 @@ Funzionalità di governance (tutte gratuite, dalla versione 2.6):
 
 ## Ultima versione
 
+La versione `3.2.6` rafforza il contenimento degli upload e l'affidabilità degli export ZIP, corregge casi limite nelle impostazioni di governance REST e nell'attivazione multisito, e mantiene accessibili le azioni della barra strumenti nei comuni layout desktop di WordPress. Migliora inoltre la presentazione e la governance del repository. Non sono richieste modifiche alla configurazione.
+
 La versione `3.2.5` completa il lavoro di codifica dell'output iniziato con la 3.2.4: il pannello dei dettagli file applica ora l'escaping all'estensione memorizzata prima di visualizzarla. Il valore è già limitato a `[a-z0-9]` dalla validazione di upload e reindicizzazione, quindi si tratta di difesa in profondità e non della correzione di una vulnerabilità sfruttabile. Non sono richieste modifiche alla configurazione.
 
 La versione `3.2.4` rafforza la distribuzione dei file privati mantenendo gli header no-cache ed evitando che i percorsi dello storage compaiano nei log diagnostici. Le destinazioni del browser sono limitate a URL HTTP(S) same-origin, l'impostazione della lingua usa una allowlist esplicita e i controlli ripetuti dei permessi riutilizzano, per la durata della richiesta, le query su cartelle, regole e gruppi. Sono stati inoltre migliorati CI, filtri di packaging, indicazioni di sicurezza e documentazione di sviluppo e rilascio. Non sono richieste modifiche alla configurazione.