Security fixes

[TicgalMaria]

2.0.3 - 01/09/2026

Bugs

• Fix safety warnings

[javierlago-ticgal]

src/Controller/GroupActionController.php, líneas 51-54 (if (!Session::validateCSRF(...))):

Esta comprobación manual siempre falla en GLPI 11: el core ya valida y consume el token vía CheckCsrfListener antes de llegar aquí. Es el bug que corrige la PR #2. Como esa PR no está mergeada todavía, se ha colado en esta rama al traer develop — habría que quitarla también aquí (no se puede comentar en línea porque ese bloque no aparece en el diff de esta PR).

[javierlago-ticgal]

Merge aceptado.

Motivo: la PR quedó en MERGEABLE/CLEAN tras resolver los conflictos con develop, y las dos correcciones pendientes de la revisión ya se aplicaron:

• Se restauró la validación de host en el redirect (GroupActionController.php), cerrando el open-redirect que la resolución de conflictos había reintroducido.
• Se eliminó la comprobación manual Session::validateCSRF(), redundante con el CheckCsrfListener del core y causante de un fallo en la acción de desactivar.

Con esto, el HIGH y los dos LOW del informe de seguridad de 2.0.1 quedan cubiertos, y además se incorporan las mejoras de calidad de esta rama (selector jQuery corregido, rama muerta en showDeactivated() eliminada, label escapado, manejo de error en install()).

Pendiente aparte: la PR #2 sigue abierta, pero ya no bloquea ni conflictúa con este merge, porque el bug de CSRF que corregía se ha resuelto aquí también.