Parameter whitelisting fix + touchz()