РелизВерсия 9.3.11Важное
EspoCRM 9.3.11: усилена очистка HTML и защита изображений
Вышел технический выпуск EspoCRM 9.3.11 с шестью перенесёнными исправлениями. Обновление усиливает обработку HTML и изображений, ограничивает доступ к папкам персональной почты и меняет журналирование ошибок API.
Команда EspoCRM выпустила версию 9.3.11. В официальном описании она обозначена как технический релиз с перенесёнными исправлениями. Сравнение с 9.3.10 включает шесть коммитов и семь изменённых файлов.
Что изменилось
В клиентской части ручная умеренная очистка HTML заменена на DOMPurify. Для обычной и умеренной очистки запрещены атрибуты data-handler и data-action. Точка входа для изображений теперь экранирует имя файла и отправляет более строгую Content Security Policy с default-src 'none' и sandbox. Эти изменения сокращают поверхность атаки при выводе пользовательского содержимого, хотя отдельный бюллетень безопасности или CVE для выпуска не заявлены.
На сервере добавлена проверка владельца персональной почтовой учётной записи: пользователь без прав администратора не сможет получить список папок чужой учётной записи. Из сообщений об ошибках маршрутов API убрано тело входящего запроса, поэтому оно больше не попадает в журнал. В WebSocket-компоненте подстановка параметров команды переведена на единый вызов strtr, что устраняет некорректные замены при совпадающих фрагментах имён параметров.
Кому обратить внимание
Обновление особенно актуально для установок, где используются персональные почтовые ящики, предпросмотр загруженных изображений, пользовательский HTML или WebSocket-уведомления. Перед установкой в рабочей среде стоит проверить совместимость собственных расширений и шаблонов, которые могли полагаться на атрибуты data-handler или data-action.