Skip to content

baserCMS 5.4.2 リリース

Latest
Latest

Choose a tag to compare

View all tags
@momofff momofff released this 22 Oct 10:19
· 1 commit to 5.4.x since this release
5.4.2
713c62d

baserCMS 開発チームは、baserCMS５の新バージョン 5.4.2 が利用できるようになったことを発表します。
これは 5.4.2 のセキュリティフィックス版リリースです。

  1. ブログコメントのショートコード展開による格納型クロスサイトスクリプティング（GHSA-qhv2-3j2q-v43x）
  2. メールフォームの公開 Web API における画像認証の回避（GHSA-cpxq-6gjp-m59g）
  3. メールフォームの自動返信における宛先の入力値検証不備（GHSA-w47c-4g8m-gjv9）
  4. 管理画面・管理 API における SQL インジェクション（GHSA-2w6g-wp3r-26m3）
  5. テーマファイル管理 API におけるパストラバーサル（GHSA-q7g3-qwrc-mp89）
  6. テーマファイル管理画面におけるパストラバーサルによる任意ファイルの閲覧（GHSA-rqr8-gmx5-xvrr）
  7. カスタムコンテンツのファイルフィールドにおける危険な種類のファイルのアップロード（GHSA-8jrp-4h7c-m679）
  8. ウィジェットエリアにおける安全でないデシリアライゼーション（GHSA-xf6p-r2hc-cc6w）

4〜8については管理画面を不特定多数のユーザーに利用させている場合のみに対応が必要となる脆弱性です。

　

baserCMS 5.4.2 のリリースについて

新機能

  • NEW [BC] 【システム】データメンテナンスの復元をコマンドから実行できるよう機能追加 fix #4527
  • NEW [BC] 【検索】検索インデックスの再構築をコマンドから実行できるよう機能追加 fix #4538

変更点

  • CHG [BC] テーブル構造情報のキャッシュを有効化し、フロント画面のデータベースへの問い合わせを削減して表示速度を改善
  • CHG [ML] 【メール】メールフィールド管理のアクセスルールの初期値を「許可しない」に変更（新規インストール時のみ）
  • CHG [SO] 標準テーマで SEO 設定のメタタグを出力するよう変更

バグフィックス

  • BUG [BC] 管理画面・管理 API で SQL インジェクションが可能だった問題を修正（GHSA-2w6g-wp3r-26m3）
  • BUG [BC] 【テーマファイル】管理 API でテーマ外のファイルを書き換えできる問題を修正（GHSA-q7g3-qwrc-mp89）
  • BUG [BC] 【テーマファイル】閲覧権限のみでテーマ外のファイルを閲覧できる問題を修正（GHSA-rqr8-gmx5-xvrr）
  • BUG [BC] 【ウィジェットエリア】保存データの読み込み時に任意のオブジェクトが生成される問題を修正（GHSA-xf6p-r2hc-cc6w）
  • BUG [BC] 【固定ページ】本文が大きいと PHP 構文チェックが誤判定し、保存できない問題を修正 fix #4552
  • BUG [BC] 【システム】管理画面の一覧で、アクションアイコンの余白が行ごとにずれる問題を修正 fix #4525
  • BUG [BC] 【テーマファイル】メニューのアコーディオンで、選択中のプラグインが正しく開かない問題を修正
  • BUG [BC] 【ユーザー管理】利用可能ユーザーの検索でエラーになる場合がある問題を修正
  • BUG [BC] 【検索インデックス】不正なパラメータで500エラーになる問題を修正
  • BUG [BC] テキストを指定文字数で切り詰めるヘルパー関数が何も出力しない問題を修正
  • BUG [CC] 【カスタムコンテンツ】ファイルフィールドの許可する拡張子に、実行可能なファイルの拡張子を指定できる問題を修正（GHSA-8jrp-4h7c-m679）
  • BUG [CC] 【カスタムコンテンツ】title 等の共通列と同名のフィールドを追加して削除すると、共通列が削除され編集できなくなる問題を修正 fix #3713
  • BUG [CC] 【カスタムコンテンツ】アーカイブページでフィールドが正しく扱われない問題を修正
  • BUG [CC] 【カスタムコンテンツ】関連フィールドの名前検索で、ステータスを指定すると名前の条件が無視される問題を修正
  • BUG [BG] 【ブログ】ブログコメントのショートコードを利用して、スクリプトを埋め込める問題を修正（GHSA-qhv2-3j2q-v43x）
  • BUG [BG] 【ブログ】記事が見つからないページでエラーになる場合がある問題を修正 fix #4542
  • BUG [BG] 【ブログ】記事本文の取得で文字数を指定すると、「続きを読む」の文言と本文の表示設定が無視される問題を修正 fix #4541
  • BUG [BG] 【ブログ】ブログを非公開にしても、配下の記事が検索インデックスに残る問題を修正 fix #4539
  • BUG [ML] 【メール】公開 Web API からのメールフォーム送信で画像認証を回避できる問題を修正（GHSA-cpxq-6gjp-m59g）
  • BUG [ML] 【メール】タイプ「Eメール」の欄に複数のアドレスを入力すると、自動返信がすべての宛先に送られる問題を修正（GHSA-w47c-4g8m-gjv9）
  • BUG [ML] 【メール】ファイル項目に最大サイズを設定したメールフォームが送信できない問題を修正 fix #4540
  • BUG [ML] 【メール】選択リストやオプションが未入力の場合に非推奨の警告が出る問題を修正
  • BUG [UL] 【アップロード管理】設定 API のアクセスルールが存在しない URL を指している問題を修正
  • BUG [UL] 【アップロード管理】アップローダーの設定が無い場合に警告が出る問題を修正
  • BUG [SO] 【SEO】カノニカルタグがどのページにも出力されない問題を修正 fix #4537
  • BUG [BE] 【BurgerEditor】自動生成した .htaccess がファイル一覧に表示される問題を修正
  • BUG [MC] 【MCP】データベースのテーブルプレフィックスを設定していると、OAuth2 用のテーブルが正しく作成されない問題を修正 fix #4529

　

インストールする

baserCMS5のインストールついては、インストールガイド をご覧ください。

　

アップデートする

baserCMS5のアップデートについては オートアップデート をご覧ください。

尚、v5.1.0以下からのアップデートは、アップデーターに問題があり、従来と異なるアップデート手順が必要になります。
baserCMS v5.1.1 アップデートガイド を参考にして、新バージョンへアップデートをお願いします。
※ v5.1.1 となっていますが、v5.1.2 以降も上記ページと同様の作業で大丈夫です。

　

baserCMS５の Packagist

baserCMS５ の各パッケージについてはモノレポで分散管理しています。Pakagist はこちらです。

　

バグを見つけたら

バグを見つけたら、GitHub の Issue または、ユーザーズフォーラム にお知らせください。
（あなたがエンジニアであるなら是非プルリクエストをお待ちしています）

　

開発への貢献について

baserCMSはボランティアベースで運営されているオープンソースプロジェクトです。

コアパッケージの開発を含め、様々な形で参加する事ができます。詳しくは次のページをご覧ください。

　

baserCMS 5.4.2 の開発貢献者

  • Shin
  • cu-akasakay
  • cu-iwasaki
  • kaburk
  • momofff
  • ryuring
  • seto1
  • 加藤 朗

　
このリリースの実現に協力して頂いたすべての貢献者に感謝します。

Assets 3
Loading