БезопасностьВерсия 12.3Важное
Zulip 12.3: исправлена защита личных сообщений
Zulip 12.3 исправляет подделку автора группового личного сообщения и получение правок из недоступного частного канала.
Что изменилось
Через API в определённых организациях можно было подделать автора сообщения в уже доступном нарушителю групповом разговоре. Этот сценарий закрыт.
После переноса сообщения в частный канал бывшие читатели открытого канала не должны получать его дальнейшие правки.
Исправлены утечки сведений о пользователях через уведомление набора и запись опасных полей в журнал нарушения политики браузера.
Добавлена проверка
JITSI_SERVER_URL; исправлены часовые пояса и импорт Mattermost с каналами, отличающимися регистром.
Что учесть
Ошибка подмены имела специальные условия: ограничение регистрации по доменам и вызов API с поддельным идентификатором клиента. Она не давала доступа к чужому ранее закрытому разговору.
Обновление важно для организаций с частными каналами и гостями. После установки проверьте перенос сообщений и доступ после него; для видеосвязи убедитесь, что адрес Jitsi задан корректно.