Edee.one 10.17.14

Vydáno 12. 10. 2026

Verze modulůZkopírovat odkaz na sekci

ZměnyZkopírovat odkaz na sekci

#3041 OIDC SSO: modul uvedený v sitemapě ignoruje konfiguraci z env/propertiesZkopírovat odkaz na sekci

Bezpečnostní politika Oprava chyby

Když byl modul SSO přihlášení přes OIDC uvedený v sitemapě, ignoroval nastavení z prostředí (env.OIDC_FG_*) i properties (security.oidc.*). Všechny hodnoty proto musely být vypsané v XML. Týká se to hlavně bridge instancí v clusteru, které běží s vypnutými systémovými moduly (skipSystemModules="true") a modul na nich musí být uvedený výslovně. Prázdný element <oidcssomodule classname="com.fg.remoteLogin.oidc.cps.OidcSsoModule"/> nově načte stejnou konfiguraci jako systémový modul. Sub-elementy v XML přepíšou jen svou hodnotu a jsou určené pro speciální případy. Preferovaná je konfigurace na straně infrastruktury: explicitní hodnota v XML přebije i hodnotu z prostředí, proto hodnoty duplikované do XML doporučujeme odstranit.

#3040 Dependency check na 10.17: nové CVE v BouncyCastle, Netty, MySQL, Jacksonu a Spring SecurityZkopírovat odkaz na sekci

Bezpečnostní chyba Dependency

Knihovny MySQL Connector/J, BouncyCastle a Netty jsou aktualizované na opravné verze (CVE-2025-30706, CVE-2026-18036, CVE-2026-17508, CVE-2026-71889, CVE-2026-93562). Nálezy v Jacksonu, jackson-coreutils a Spring Security 5.7, pro které v řadě 10.17 neexistuje použitelná oprava, jsou posouzené a potlačené, protože zranitelné části kódu platforma nepoužívá. Úprava projektů není potřeba.

#3039 Backport do 10.17: náhledy storage f.internal ve veřejném úložišti variantZkopírovat odkaz na sekci

Bezpečnostní chyba CPS Edee

Obrazové varianty souborů ze storage f.internal, určené jen pro administraci (exporty, přílohy), se ukládaly do veřejně servírovaného úložiště variant. Jejich náhledy a zmenšeniny tak byly dostupné bez přihlášení. Storage f.internal bez vlastních pravidel je nově celá neveřejná cesta a varianty se pro ni nevytvářejí. Administrace u jejích obrázků zobrazuje ikonu typu souboru a jako náhled originál. Konfigurace projektů se nemění. Varianty vytvořené dříve zůstávají ve storage variant a je potřeba je při nasazení smazat. Administrace zároveň přestala u souborů z neveřejných cest hlásit stav „v koši / vypršela platnost“ a označuje je samostatným stavem. Výpis souvisejících souborů je nevypisuje.

#3036 Scramjet REST API: odeslaná data formulářů dostupná bez autentizaceZkopírovat odkaz na sekci

Bezpečnostní chyba RESTAPI Scramjet

Při zapnutém modulu ScramjetRestApiModule šlo bez přihlášení číst seznam formulářů, jejich definice i odeslaná data. Všechny endpointy /api/scramjet/** nově vyžadují HTTP Basic autentizaci uživatelem Edee.one, bez platných přihlašovacích údajů vrací 401. Klienti API musí posílat hlavičku Authorization: Basic … (přes HTTPS). Filtr ověřuje jen identitu uživatele, oprávnění k jednotlivým endpointům nekontroluje. Pokud je nastavený důvěryhodný port, ponechte edee.restapi.security.trustedPort.skipAuthentication=false, kdykoli na něj může přijít provoz zvenčí.

#3027 Upload obrázku přes CMS REST API s upload akcí replacebyvariant napoprvé vrací 406Zkopírovat odkaz na sekci

Edee Oprava chyby RESTAPI

Upload obrázku přes POST /api/cms/storages/{id}/items do storage s upload akcí replacebyvariant nově projde napoprvé a soubor je nahrazený variantou. Pokud upload akce selže, nově vytvořená položka se smaže, aby nezpracovaný obsah nezůstal dostupný. API pak vrací chybu 500 s popisem místo prázdné odpovědi 406. Kód 406 zůstává jen pro nečitelná data požadavku.

#2741 Microsoft přihlášení - 'accountSource' is limited to size of 16, cannot store value MICROSOFT_LIVE_USER with length 19.Zkopírovat odkaz na sekci

Oprava chyby Registration

Přihlášení přes Microsoft účet končilo chybou, protože hodnota MICROSOFT_LIVE_USER se nevešla do pole accountSource uživatele. Pole je rozšířené na 32 znaků (MySQL i Oracle). Změna schématu se provede automaticky při startu aplikace.