BookStack 26.09.2: исправлен доступ к комментариям и вложениям

Первый сценарий связан с корзиной: после удаления страницы её комментарии могли оставаться видимыми пользователям API, пока сама страница находилась в корзине. Исправление касается именно такой видимости комментариев, а не заявленного публичного доступа ко всем удалённым материалам.

Второй сценарий затрагивает вложения страниц, которые ещё находятся в статусе черновика. Другие пользователи с разрешениями на обновление или удаление вложений могли изменять их без корректного учёта статуса связанной страницы. В 26.09.2 соответствующая проверка учитывает черновик.

Дополнительно смена пароля пользователя теперь сбрасывает cookies длительного входа «Запомнить меня», ограничивая дальнейшее использование таких сеансов. При импорте ZIP проверяется суммарный распакованный размер для снижения риска отказа в обслуживании. Также усилена защита маршрутов SAML2 от межсайтовых запросов, вызывающих выход из системы, и обновлены PHP-пакеты.

Разработчики рекомендуют обновление, особенно если для установки существенны два описанных сценария доступа. В официальном объявлении не приведены CVE, оценка серьёзности и полный диапазон затронутых версий; подтверждённая версия с исправлениями — 26.09.2. Это не позволяет объявлять все прежние версии одинаково уязвимыми или называть проблемы критическими.