Edee.one 10.17.15
Vydáno 13. 10. 2026
Změny
#3046 Dependency check: CVE-2026-102554 v Guavě 32.0.1-jre
Bezpečnostní chyba Dependency
Knihovna Guava je aktualizovaná na opravnou verzi 33.7.2-jre (CVE-2026-102554, odepření služby
přes neomezenou alokaci paměti při Java deserializaci). Verze běží i na Javě 8. Guava 33 už
tranzitivně nepřináší checker-qual ani jsr305; projektový kód, který jejich třídy používá
(např. org.checkerframework.*, javax.annotation.Nonnull), musí závislost deklarovat sám.
#3045 Fulltext: textová podoba dokumentů je veřejně dostupná a obchází omezení přístupu
Bezpečnostní chyba CPS Edee Fulltext
Text extrahovaný fulltextem z dokumentů (PDF, Office) se ukládal do veřejně servírovaného úložiště
variant f.variant. U dokumentů, k nimž projekt omezuje přístup, tak mohl být jejich text
potenciálně dostupný i mimo tato omezení. Textové varianty se nově ukládají do neveřejného
úložiště f.variant.internal, které se vytvoří automaticky, a dřívější textové varianty se při
startu z veřejného úložiště na filesystému odstraní.
#3043 Serve: pravidla accessControl lze obejít zakódovanou nebo nenormalizovanou URL
Bezpečnostní chyba Edee Serve
Pravidla accessControl serve modulu (ipCheck, countryCheck, passwordCheck,
httpSessionCheck, výjimky passwordProtection) šlo obejít procentně zakódovanou URL
(/content/get/%74ext/…) nebo tečkovým segmentem (/content/get/./text/…). Pravidla se nově
vyhodnocují nad cestou dekódovanou a normalizovanou servlet kontejnerem, tedy stejnou, ze které
se obsah vydává. Pokud má projekt v url patternu procentně kódované znaky (např. %C3%A1),
je potřeba ho přepsat do dekódované podoby. Pravidla se dál vyhodnocují nad URL před url
rewrite, cesta dosažitelná i přes rewrite proto musí být pokrytá pravidlem pro všechny veřejné
tvary.
#2995 REST API: přes úpravu zdroje už nelze změnit pageState (regrese)
Edee Oprava chyby RESTAPI
Zápis obsahu přes PUT /api/cms/sources/{sourceId} nově mění stav stránky stejně jako uložení
z administrace: skutečná změna přepne publikovanou stránku do stavu CHANGED (při budoucím
validFrom do SCHEDULED), zápis beze změny stav zachová. Atribut pageState v těle se
nezapisuje; přijímá se jen aktuální stav nebo stav, ke kterému zápis vede (odeslání dat získaných
přes GET zpět), jiná hodnota vrací 400. Zápis do zdroje v koši nebo s vypršelou platností vrací
409 a na rozdíl od administrace platnost neobnoví.