VEILIGHEIDSUPDATE: Joomla! 1.5.10
zaterdag 28 maart 2009 14:00
Vandaag is een belangrijke security update verschenen. Joomla! 1.5.10. dicht een klein en een middelgroot veiligheidslek. Daarnaast zijn 66 bugs gefixt. Meer informatie over deze security update vindt u op Joomlacommunity.eu >>.
Hieronder de informatie die JoomlaCommunity hierover verstrekt:
Release Notes
Veiligheids verbeteringen:
- Middelhoge prioriteit: Een serie van XSS en CSRF fouten bestaan in het administrator paneel. Het gaat hierbij om com_admin, com_media, com_search. Beide com_admin en com_search bevatte XSS kwetsbaarheden, en com_media bevat 2 2 CSRF kwetsbaarheden. Meer informatie (en).
- Lage proioriteit: Een XSS kwetsbaarheid bestaat in de categorie weergave van com_content. Meer informatie (en).
Componenten
- Artikel alias ontbreekt niet langer in de categorie weergave
- Sectie lijst split juist uit naar categorie lijst weergave met globale content filers.
- Weblink router gebruikt nu correcte categorie waarde
- Correcte artikel HTML filter wanneer er een filter groep is geselecteerd
- Tooltip help gecorrigeerd voor sectie, categorie en artikel alias
- Gecorrigeerde lijst volgorde met waardes anders dan volgorde
- Juiste werking archief artikel filter functie
- Ampersand in site titel breekt niet langer meer de weergave van positie in vCard
- In herinner mij en wachtwoord links is "/" toegevoegd voor de url in com_user
- Zoeken werkt juist met internationale karakters wanneer SEF is ingeschakeld
- Registreer om verder te lezen gecorrigeerd voor sectie en categorie menu items
- Meerdere zoek menu items retourneren nu juiste Itemid's.
- com_media laad niet meer de verkeerde CSS files van de backend
- Ongeldige xHTML output in com_content en com_contact gecorrigeerd
- Kleine fouten in code commentaar gecorrigeerd voor com_user
Modules
- Aanpassing van de waarde voor module 'positie' past nu op juiste wijze de waarde aan voor de 'volgorde'
- Wanneer een module wordt opgeslagen wordt de cache nu geleegd
- Codering gedrag voor aanhalingsteken en apostrof gecorrigeerd in modules
- Gecorrigeerde uitlijning van menu afbeeldingen
- Menu alias respecteert actieve instelling
- Gecorrigeerde tag fout in mod_feed
- Login redirect naar huidige pagina wanneer er geen redirect url is gespecificeerd
Plugins
- Gecorrigeerde ID tags welke door openid.js worden gebruikt
- 'Lees meer' knop werkt correct met JCE
- Gecorrigeerde xHTML uitvoer van 'lees meer' knop
- 'Lees meer' knop spoort juiste huidige pagina op
- 'Lees meer' knop werkt juist met sectie tabellen
- Caching fout opgelost voor 'herinner mij' functie
- Menu item aanpassingen worden nu op juist wijze gecached
- SEF plugin gaat nu op juiste wijze met 'data' attribuut om
- Laad positie verwijderd niet langer het dollar teken en de volgende twee posities in de module output
Legacy
- Geen legacy correcties deze release
Templates
- Beez: juiste 'laatst bijgewerkt' datum wordt in sectie blog gebruikt
- JA Purity: alle artikel teksten zijn niet langer gelinkt wanneer categorie aanwezig is
- rhuk Milkyway: correcte waarde voor authorEmail
- Gecorrigeerde weergave van site titel bij muis hover over template logo bij RTL weergave
Taal
- Lokalisatie voor gebruikersnaam gecorrigeerd in registratie formulier
- Gecorrigeerde lokalisatie voor nieuwe module
- Gebruikers details nu vertaalbaar
- Lokalisatie voor installatie componenten gecorrigeerd
- Kopiëren menu items is nu vertaalbaar
- Lees meer knop is nu vertaalbaar
- De-installeren van een component bevat nu alle taal strings
Administrator
- Categorieën zijn nu te sorteren in omgekeerde volgorde bij data element
- Gecorrigeerde parameter element ID voor folderlijst en bestandslijst
- Datum formaat gecorrigeerd voor 'check uit datum'
Systeem
- Installatie van extensies werkt nu ook wanneer een pakket een zip bestand bevat
- Niet langer ontbreken van l10n in JApplicationHelper::parseXMLInstallFile()
- Gecorrigeerde JavaScript fouten welke ontstaan waren bij vorige SEF achtergrond afbeeldingen fix
- Corrigeerd probleem met foutafhandeling in JFactory::getXMLParser
- Hoofdlettergevoellige afbeelding bestandsextensies
- Atom feed valideert op juiste wijze
- JString::RTrim methode is gecorrigeerd
- Verwijderde open tag in admin.categories.html.php
- JInstallerComponent::_rollback_menu() fout opgelost wanneer DB Connector wordt verkregen
- Bestand verplaatsen geeft nu op juiste wijze fout aan wanneer het bestand niet leesbaar of schrijfbaar is
- Bestandsrechten voor temp en log mappen nu juist weergeven
- JFolder::folders vertoont niet langer onnodige waarschuwingen
- Instelling van tooltip offset werkt juist
- JArchiveZip::_extractNative() identificeert op juiste wijze zip_open() fouten
- Installer.php parseMedia punten naar juiste folder
- Eigen installatie bestand wordt bijgewerkt bij component installatie
- Ongedefinieerd index HTTP_USER_AGENT fout gecorrigeerd in behavior.php
Statistieken
Statistieken voor de 1.5.10 release periode:
Joomla 1.5.10 bevat:
- 68 opgeloste problemen in SVN
- 281 verbeteringen
Tracker activiteit resulteerde in een daling van gemelde problemen:
- 176 nieuwe meldingen
- 133 afgehandeld
- 68 gecorrigeerd in SVN
Op het moment van samenstelling van de 1.5.10 release, de tracker bevatte 95 problemen:
- 44 open
- 40 bevestigd
- 11 lopende
Joomla! Bug Squad
Dank aan de Joomla Bug Squad voor hun inzet in het onderzoeken van gemelde problemen, oplossen van problemen, en het aanbieden van patches aan Joomla. Als je een bug vindt in Joomla, maak er dan een melding van in de 1.5 Bug Tracker.
Actieve leden van de Joomla Bug Squad tijdens deze release zijn: Ian MacLennan en Mark Dexter co-coordinatoren; Airton Torres, Akarawuth Tamrareang, Arno Zijlstra, Amy Stephen, Andrew Eddie, Anthony Ferrara, Ashwin Date, Dan Walker, Dennis Hermacki, Edvard Ananyan, Elin Waring, Ercan Ozkaya, Gergő Erdősi, Hannes Papenberg, Kevin Devine, Kevin Sookocheff, Klas Berlič, Marieke van der Tuin, Marijke Stuivenberg, Mati Kochen, Niels Braczek, Pete Nurse, Rosario Buste, Samuel Moffatt, Shantanu Bala, en Wilco Jansen.
Een warm welkom voor de nieuwste leden van de Joomla Bug Squad: Amit Kumar Singh, Andrew Rose, Ashwin Date, Edvard Ananyan, Joe Palmer, Kashyap Puranik, Niels Braczek, Parth Lawate, Pete Nurse, Philip Walton, Richard Malinowski, en Srinivas Chilukuri.