Skip to content

Releases: kupidonkhv/voyager

Release list

1.7.49 — security hardening

1.7.49 — security hardening Latest
Latest

Choose a tag to compare

View all tags
@kupidonkhv kupidonkhv released this 01 Nov 07:34
v1.7.49
2492b09
This commit was created on GitHub.com and signed with GitHub’s verified signature.
GPG key ID: B5690EEEBB952194
Verified
Learn about vigilant mode.

Security hardening release for the Voyager fork.

Fixed

  • Compass log access is constrained to storage/logs; download/delete paths are validated with realpath.
  • Compass Artisan execution uses an explicit command allowlist and argv parsing; config:show is no longer allowed by default.
  • Compass log deletion and settings reordering require POST and CSRF tokens.
  • Media manager rejects server-side extensions before storage, sanitizes filenames, validates upload paths, and cleans up partial files.
  • Extension media endpoints enforce DataType permissions, media ownership, and model policies.
  • Extension asset serving is contained with realpath.
  • Gallery uploads require matching image MIME and extension.
  • Flash/toastr output is JSON-hex escaped with escapeHtml.

Tests

  • Targeted security/regression suites: 62 tests, 168 assertions, passing.
  • Full suite: 167 tests, 1018 assertions, 2 pre-existing EventTest media-path failures.

Limitations

Browser-level Playwright/ZAP checks and production web-server PHP execution checks were not rerun for this release. Review the repository audit report for residual limitations and Compass allowlist guidance.

This release was prepared by an AI agent (OpenHands) on behalf of the repository owner.

Assets 2
Loading

v1.7.48 — журнал активности и русский README

v1.7.48 — журнал активности и русский README

Choose a tag to compare

View all tags
@kupidonkhv kupidonkhv released this 31 Oct 04:07
v1.7.48
3fc4a71

Voyager 1.7.48

Встроенный журнал активности администраторов и полный русский README.

Журнал активности

  • Фиксирует, кто, когда, что сделал, над каким объектом и с каким результатом.
  • Покрывает изменение, удаление, восстановление и клонирование записей BREAD.
  • Покрывает загрузку, замену, перемещение, переименование и удаление файлов.
  • Покрывает настройки, назначение ролей и разрешений.
  • Покрывает вход, выход, неудачные попытки входа и отказы в доступе.
  • Админ-раздел /admin/activity с фильтрами и карточкой события.
  • Разрешения browse_activity_logs и browse_activity_log_context.
  • Команды voyager:activity:install и voyager:activity:prune.

Безопасность

  • Для изменений сохраняются только имена полей.
  • Старые и новые значения не сохраняются и не показываются.
  • Для удалений сохраняются только тип и идентификатор объекта.
  • Пароли, токены, содержимое файлов и тела запросов исключены.
  • Метаданные проверяются по белому списку для каждого события.
  • Сбой журнала не откатывает основное административное действие.

Обновление

composer require kupidonkhv/voyager-fork:^1.7.48
php artisan vendor:publish --tag=voyager-activity-config --force
php artisan migrate
php artisan voyager:activity:install

Проверка

  • 148 тестов, 978 утверждений.
  • PHP 8.4 / Laravel 13.39.0.
  • composer validate проходит.

Полный список изменений: CHANGELOG.md.

Release notes prepared by an AI agent (OpenHands) on behalf of the repository owner.

Loading