# Las tareas aceptan scripts y entradas que parecen ataques, y las excepciones del WAF admiten * dentro de la ruta

> Crear o editar una tarea por dash.openwaf.dev ya no recibe un 403 del WAF del borde cuando el script, la entrada o el objetivo parecen shell, SQL o HTML. Un * antes del final de la ruta de una excepción del WAF equivale a un segmento.

Crear o editar una tarea por `dash.openwaf.dev` (panel, API, CLI) recibía un `403` de nuestro propio WAF del borde cuando el `script`, el `input` o el `goal` del agente llevaban texto que parece una orden de shell, SQL, HTML o una ruta de fichero, como `cat /etc/passwd` en una entrada; hasta el script del [inicio rápido](https://developers.openwaf.dev/es/tasks/quickstart-script/) se rechazaba. En las rutas de tareas (`/v1/orgs/{org}/tasks` y por debajo) el WAF salta ahora las reglas de inyección que dispara ese texto; exigen sesión o token y la API valida cada campo. Las demás reglas del WAF, los escudos y el resto de la API mantienen su inspección.

`script` se acepta tal cual; [`script_base64`](https://developers.openwaf.dev/es/tasks/reference/#task) sigue funcionando, pero ya no hace falta.

El arreglo usa una forma nueva de ruta en las [excepciones del WAF](https://developers.openwaf.dev/es/waf/waf-exceptions/#path-pattern): un `*` antes del final de `path_pattern` equivale a cualquier carácter salvo `/`, así que `/v1/orgs/*/tasks` cubre esa ruta en todas las organizaciones y nada más bajo `/v1/orgs/`. El `*` final sigue siendo un prefijo.