Skip to content

v0.3.4

Latest
Latest

Choose a tag to compare

View all tags
@github-actions github-actions released this 28 Sep 12:32
· 2 commits to master since this release
v0.3.4
a034cc0

VersoCon — v0.3.4 — Release notes

🔒 Security update — CVE-2024-4367 (pdf.js)

  • 🛡️ PDF editor hardened against CVE-2024-4367. The bundled pdf.js 3.11.174 falls in the affected range (0.8.1181 → 4.1.392, fixed upstream in 4.2.67). Every getDocument call now sets isEvalSupported: false, which disables the code path that could compile attacker-controlled font data through Function — the mitigation recommended by the pdf.js project until the library itself is upgraded.
  • ✅ No behaviour change: PDF previews, password-protected files, scan cleanup, signing and every other flow work exactly as in v0.3.3.
  • 📦 winget channel is live: the HikariHasegawa.VersoCon package was approved and published — winget install HikariHasegawa.VersoCon.

SHA-256

versocon-setup-0.3.4.exe
658C314CC440F1AAC226DA1932EAA7C2BBAA59C8FA51965B017A8C6CECEDC1D2

(Windows: Get-FileHash versocon-setup-0.3.4.exe -Algorithm SHA256).

🔒 Is it safe? / È sicuro?

Yes — VersoCon is 100% local, open-source, with no telemetry and no account.
It runs entirely on your machine (127.0.0.1); nothing ever goes online.

Windows shows "Windows protected your PC" (SmartScreen)

This is normal for unsigned open-source software and does not mean VersoCon contains a virus.
Before you proceed, verify:

  1. SHA-256 — compare the hash of your downloaded file with the one on this release page
    (Windows: Get-FileHash versocon-setup-*.exe -Algorithm SHA256).
  2. VirusTotal (optional) — upload your copy at
    virustotal.com and check the result.
  3. Source code — the code that built this file is on
    github.com/lupanostefano/versocon.

If everything checks out, click More info → Run anyway / Esegui comunque.

Prefer an installer that never asks?

Install through a package manager:

winget install HikariHasegawa.VersoCon    # official Windows package manager (live)
scoop bucket add HikariHasegawa https://github.com/lupanostefano/bucket
scoop install versocon                     # Scoop, from the author's bucket above (live)

Sì — VersoCon è 100% locale, open-source, senza telemetria e senza account.
Ogni cosa gira sulla tua macchina (127.0.0.1); nessun file va mai online.

Windows mostra "Windows ha protetto il tuo PC" (SmartScreen)

È normale per software open-source non firmato e non indica la presenza di un virus.
Prima di procedere, verifica:

  1. SHA-256 — confronta l'hash del file scaricato con quello della pagina della release
    (Windows: Get-FileHash versocon-setup-*.exe -Algorithm SHA256).
  2. VirusTotal (facoltativo) — carica la tua copia su
    virustotal.com e controlla il risultato.
  3. Codice sorgente — chi ha costruito questo file è su
    github.com/lupanostefano/versocon.

Se tutto è OK → Altre informazioni → Esegui comunque.

Preferisci un canale che non chiede nulla?

Installa con un package manager:

winget install HikariHasegawa.VersoCon    # canale Microsoft (ora attivo)
scoop bucket add HikariHasegawa https://github.com/lupanostefano/bucket
scoop install versocon                     # Scoop, dal bucket dell'autore qui sopra (già attivo)

FAQ

Q: What changed in v0.3.4? / Cosa cambia nella v0.3.4?
A: A security hardening of the PDF editor against CVE-2024-4367 (see the top of these notes). No other behaviour changed. / Una mitigazione di sicurezza dell'editor PDF per CVE-2024-4367 (vedi inizio delle note). Nessun altro comportamento è cambiato.

Q: Why does Windows warn me? / Perché Windows mi avvisa?
A: The installer is not digitally signed (a code-signing certificate requires a business entity — see the roadmap). SmartScreen is a generic caution, not a malware report. / Non è firmato con certificato (serve una ditta — vedi roadmap). SmartScreen è una cautela generica, non un report di malware.

Q: How do I know it's not a virus? / Come so che non è un virus?
A: (1) The source is public on GitHub. (2) The binary you run is built from that source in a public GitHub Actions log. (3) SHA-256 and VirusTotal give you 2 independent confirmations. / (1) Il codice è pubblico. (2) Il binario che esegui è costruito da quello in una CI GHA pubblica. (3) SHA-256 e VirusTotal danno 2 verifiche indipendenti.

Q: When will the warning go away? / Quando sparisce l'avviso?
A: For most users within weeks, once SmartScreen has enough "clean install" reports. Definitively, once we get a code-signing certificate (needs a business license). / Per la maggior parte degli utenti in poche settimane. In modo definitivo quando avremo il certificato di firma (richiede una ditta).

Q: Does v0.3.4 include the security fixes from previous releases? / La v0.3.4 include i fix di sicurezza delle versioni precedenti?
A: Yes — all of them (path traversal, DNS-rebinding/CSRF protection, hidden console windows, Italian translation fixes, editor geometry on rotated pages). / Sì — tutti (path traversal, protezione DNS-rebinding/CSRF, finestre console nascoste, fix delle traduzioni italiane, geometria dell'editor su pagine ruotate).

Assets 4
Loading