БезопасностьВерсия 26.05.4Важное
BookStack 26.05.4: защита вложений и импорта
BookStack 26.05.4 закрывает ошибки доступа к вложениям и черновикам и опасный сценарий импорта ZIP.
Что изменилось
Исправлена возможность обновлять вложения на странице без права её редактирования.
Запросы черновиков не позволяют менять опубликованные страницы без соответствующих прав; чужие черновики не должны попадать в отдельные результаты поиска.
Закрыт сценарий выполнения кода через специально подготовленный ZIP-импорт.
Исправлены обработка рисунков и пересчёт видимости после операций с корзиной.
Выдача изображений дополнена проверкой типа содержимого.
Что учесть
Разработчики особенно настойчиво советуют обновление, если доступ к установке есть у недоверенных пользователей, в том числе с правом редактирования.
Для таких установок они также рекомендуют проверить public/uploads и storage/uploads/images на неожиданные файлы, которые не являются изображениями. Само обновление не доказывает отсутствие ранее загруженного постороннего содержимого.