БезопасностьВерсия 26.05.3Важное
BookStack 26.05.3: исправления входа через внешние сервисы
BookStack 26.05.3 исправляет сопоставление пользователей при внешнем входе и защищает экспорт, PDF и сообщения API.
Что изменилось
При входе через OIDC, SAML2 или LDAP идентификаторы сравниваются точно. Близкие по написанию значения, отличающиеся регистром или акцентами, не должны связываться с чужим аккаунтом.
Неудачный вход дополнительно защищён от определения существования пользователя по времени ответа.
Экспортируемый материал очищается от опасного интерактивного содержимого в файловых ссылках.
Ограничен доступ PDF-обработчика к файлам сервера.
Ошибки API больше не должны раскрывать отладочные подробности, например пути к файлам.
Что учесть
Разработчики рекомендуют обновление всем установкам, особенно с внешней аутентификацией. После установки проверьте вход нескольких пользователей через применяемый сервис.
Также полезно проверить штатный экспорт PDF и ответ API на неверный запрос. Исправление ошибок безопасности не требует менять структуру уже опубликованных книг и страниц.