PukiWiki2026 v1.0.1

PukiWiki2026 v1.0.1

v1.0.0 からのメンテナンスリリースです。ディレクトリ構成の整理、認証・CSRF・Unicode セキュリティの強化、添付ファイル上限の拡大、スキン利用ドキュメントの整備が中心です。

v1.0.0 からの主要変更

ディレクトリ構成

• Wiki 運用に必要なファイルを pukiwiki/ 配下へ集約（案 B 改）。デプロイ / バックアップ単位は index.php + pukiwiki/
• 公式同梱ファイル（COPYING.txt・README.txt 等）を pukiwiki/ へ移動。root は index.php・.htaccess・プロジェクト文書のみ
• vendor/・patches/ を削除（上流 diff は git タグ upstream-1.5.4-utf8 で代替）
• スキン構成を v1.0.0 方式に復元（skin/ 直下）

セキュリティ

• SEC-U01（Fixed） — Unicode BiDi/RTL 制御文字・ゼロ幅文字によるページ名なりすましを拒否（lib/security.php、Closes #81）
• セキュリティ再監査（2026-06-07） — PKWK_PAGENAME_BYTES_SOFT_LIMIT 誤参照を修正（SEC-M09）。プラグイン POST フォームへ CSRF トークン自動注入（SEC-M10 部分対応）
• ログイン済みは $adminpass 不要 — 凍結・rename・attach 管理者操作等でフォームログイン済みなら再入力をスキップ
• 初回ログイン強制パスワード変更 — デモ用 editor / editor ログイン時、変更完了まで Wiki 操作をブロック
• デフォルト編集者パスワード — 初期値を pass から editor に変更（必ず変更してから使うこと）

添付ファイル

• 添付上限を pukiwiki.ini.php の $attach_max_filesize で設定可能に（既定 2GB）

ドキュメント

• docs/PUKIWIKI154-SKIN.md — PukiWiki 1.5.4 由来スキン利用方針、legacy skin/ パス吸収の任意 rewrite 手段
• docs/SECURITY-AUDIT.md — 2026-06-07 再監査、Unicode/BiDi 攻撃テストケース追記

その他

• フッタに PukiWiki2026 クレジット（PHP バージョン・convert time 含む）を全スキンで統一表示
• 起動時ディレクトリパーミッションチェック（lib/perm.php、Unix/Linux 本番向け）
• 強制パスワード変更・ini 書き込みまわりの複数バグ修正

詳細

完全な変更一覧は CHANGELOG.md を参照してください。

アップグレード注意

• v1.0.0 からの構成変更により、デプロイパスが index.php + pukiwiki/ になります。既存環境は DEPLOY.md を参照して移行してください。
• デモ用初期パスワードは editor です。本番公開前に必ず変更してください（SETUP.md）。

PukiWiki2026 v1.0.0

PukiWiki2026 v1.0.0

PukiWiki 1.5.4 UTF-8 をベースに、セキュリティ強化・スパム対策・oEmbed を加えた非公式 fork の初回リリースです。
公式 PukiWiki Development Team の配布物ではありません（GPL v2 or later）。

主要機能

• セキュリティ強化 — 編集認証必須、CSRF トークン、静的監査対応（SEC-M03/L01/L05 等）
• スパム対策 — Akismet 連携、編集時 CAPTCHA（reCAPTCHA v2/v3 / honeypot）、外部リンク POST 制限（いずれも既定 OFF）
• oEmbed — YouTube / Vimeo / Twitter(X) / Flickr 等の URL 埋め込み（SSRF・HTML サニタイズ付き）
• 初回セットアップ — デモ用初期ログイン、パスワードハッシュ生成ツール、セットアップ手順書

⚠️ 重要: 初期パスワードは必ず変更してください

初回ログインの既定値は以下のとおりです（デモ用）:

項目	値
ユーザー名	editor
パスワード	pass

本番・公開前に必ず変更してください。 pukiwiki.ini.php の $auth_users / $adminpass を更新し、初期値のまま運用しないでください。

パスワードハッシュの生成

• Web: tools/gen-password-hash.php（{x-php-sha256} / {x-php-password} 対応）
• 手順: docs/SETUP.md

本番公開後は tools/ を削除するか、IP 制限等でアクセスを遮断してください。

ドキュメント

• CHANGELOG.md
• docs/SETUP.md — 初回セットアップ
• docs/DEPLOY.md — デプロイ手順
• docs/ANTI-SPAM.md — スパム対策
• docs/OEMBED.md — oEmbed
• docs/SECURITY-AUDIT.md — セキュリティ監査

要件

• PHP 8.x 推奨（CI: PHP 8.1〜8.4 構文チェック）
• Apache / nginx + PHP