Edee.one 10.18.1

Vydáno 27. 10. 2026

Verze modulůZkopírovat odkaz na sekci

ZměnyZkopírovat odkaz na sekci

#2987 WebDAV: sdílený podpisovací klíč nonce a nekonstantní porovnání v digest autentizaci (CVE-2026-59276)Zkopírovat odkaz na sekci

Bezpečnostní chyba Kritická změna Webdav

Kritická změna

AD - kontrola webdav integrace

Týká se jen projektů, které mají v modules.xml zapnutý modul WebDAV.

1. Požádejte klienta, ať se připojí přes WebDAV a otevře libovolný soubor. Pokud se soubor otevře, přihlášení funguje.
2. V T_SEC_POLICY_LOGIN_HISTORY zkontrolujte, že přihlášení mají ve sloupci remoteHost skutečné IP klientů, ne interní IP ingressu nebo podu. Stačí se podívat na přihlášení do administrace, WebDAV bere IP stejně. Pokud tam jsou interní IP, řešte to se správcem infrastruktury: blokování IP po neúspěšných pokusech pak zablokuje všechny uživatele najednou, nejen WebDAV.
3. Pokud má <webdavserver> atribut authentication="digest", odstraňte ho. WebDAV teď poběží na basic, takže musí jít přes https://. Síťová jednotka ve Windows basic přes http:// odmítne.

Dobré vědět: změna hesla nebo zablokování účtu se ve WebDAV projeví až po 300 s. Pokud to spěchá, vyčistěte cache WEBDAV:::auth.

WebDAV server už nepodporuje HTTP Digest (CVE-2026-59276), jedinou autentizací je Basic a atribut authentication="digest" se ignoruje s varováním v logu. Přihlášení přes WebDAV nově podléhá bezpečnostní politice (blokování účtu a IP, zpoždění, historie přihlášení), takže klient s opakovaně chybným uloženým heslem může zablokovat účet nebo IP adresu. Cesta /webdav/** musí být dostupná přes HTTPS.

#3015 Cookie consent: souhrnný export, limit exportu položek a REST API pro ukládání souhlasů z JuanuZkopírovat odkaz na sekci

Edee Nová vlastnost Oprava chyby RESTAPI

Kritická změna

AD:

• Export po položkách je omezený konfigurací exportMaxRecords (default 50 000). Větší export se odmítne s hláškou a je potřeba zúžit filtr nebo použít nový export denního souhrnu. Limit jde v konfiguraci modulu zvýšit.
• Projekty s Juanem by měly přejít na REST API PUT /api/cookieconsent/consents a zaregistrovat CookieConsentRestApiModule na FE nodu. Jakmile modul běží, filtr na tom nodu souhlasy z cookie nezapisuje. Bez registrace modulu zůstává chování beze změny.
• REST API je samostatný modul CookieConsentRestApiModule (servlet pod /api/cookieconsent/**). Neregistrujte ho na nodu, jehož FE API nevolá, jinak se tam souhlasy z cookie přestanou ukládat. Knihovna nově závisí na lib_edee_rest_api.

Administrace cookie consent nově nabízí export denního souhrnu (den × doména: přijaté a odmítnuté souhlasy) a export jednotlivých záznamů nad limitem exportMaxRecords odmítne; nad přehledem je o limitu informace. Export už nepadá na záznamech bez domény nebo se smazaným webem. Nový modul CookieConsentRestApiModule přidává PUT /api/cookieconsent/consents pro ukládání souhlasů z Juanu, čímž odpadnou chyby duplicitního klíče ze souběžných požadavků více FE serverů.

#2702 REST API platebních bran nevrací chybové hláškyZkopírovat odkaz na sekci

Platební brány RESTAPI

Kritická změna

AD: Přetestovat platby na bránách.

REST API platebních bran vrací při chybě místo obecné chyby 500 odpovídající stav (400 chyba validace, 502 selhání brány, 404 nenalezeno) s přesným důvodem a kódem hlášky s prefixem payGate.; každé selhání se zaloguje s typem brány. Chybové hlášky bran už neobsahují citlivé údaje z odpovědi brány. U Twisto se položky platebního poplatku s cenou odmítnou srozumitelnou chybou a opravena je kontrola maximální částky.

#3091 Bezpečnostní aktualizace Freemarker, Jackson - CVE-2026-84939Zkopírovat odkaz na sekci

Bezpečnostní chyba Dependency

Aktualizace knihoven se známými zranitelnostmi: FreeMarker 2.3.35 (CVE-2026-84939, průchod cestou k šabloně přes neplatné locale) a Jackson 2.22.4 (DoS a deserializace v core, databind a dataformat-cbor). Ostatní hlášené zranitelnosti (Spring, Spring Security, OGNL) byly prověřené jako v platformě nevyužitelné.

#3090 Převod HTML parseru daisydiffu z codelibs nekohtml na htmlunit-nekoZkopírovat odkaz na sekci

Bezpečnostní chyba Dependency Edee

Porovnání revizí obsahu (daisydiff) nově parsuje HTML knihovnou neko-htmlunit 4.21.0 místo org.codelibs:nekohtml, na kterou se vztahuje CVE-2022-28366 a která navíc vyžadovala Javu 11 — na JDK 8 porovnání revizí nefungovalo. Výstup porovnání se nemění.

#3083 Rozbitý klíč Google Analytics shodí formulář editace webuZkopírovat odkaz na sekci

Oprava chyby

Neplatný soubor s klíčem Google Analytics už neshodí formulář editace webu. Chyba se zaloguje a výběr účtu a vlastnosti GA zůstane prázdný.

#3081 Revize phobos probes (liveness/readiness) při dočasné nedostupnosti DBZkopírovat odkaz na sekci

K8s Monitoring RESTAPI

Liveness probe (/probes/liveness) už nekontroluje dostupnost databáze, takže krátký výpadek databáze (upgrade, failover) nevede k restartu podů v Kubernetes. Výpadek databáze se zaloguje jednou při změně stavu a jednou při obnovení, místo opakovaných chyb.

#3079 SSO session vypadne po reloadu CPS a není svázaná s identitou u IdPZkopírovat odkaz na sekci

Bezpečnostní chyba CPS Oprava chyby

Uživatel přihlášený do administrace přes SSO (OIDC) zůstane přihlášený i po reloadu CPS a po přesunu session na jiný server clusteru. Session je nově svázaná s identitou u poskytovatele identity: když stejné přihlašovací jméno převezme jiná identita nebo lokální účet, session se odhlásí. Obnovu session omezuje vlastnost security.oidc.session.restore.max.age.minutes; po nasazení se jednou odhlásí všechny SSO sessions vzniklé před nasazením.

#3077 Task manager: synchronizace s GitLabem padá s NoSuchFieldError SNAKE_CASE po upgradu JacksonuZkopírovat odkaz na sekci

Dependency Oprava chyby TMM TaskManagement

Synchronizace task manageru s GitLabem znovu funguje — od upgradu Jacksonu každé volání GitLab API padalo na NoSuchFieldError. Task manager používá upravenou verzi knihovny gitlab4j-api kompatibilní s aktuálním Jacksonem. Z WARu zároveň zmizely duplicitní knihovny jakarta.inject a aopalliance-repackaged, kvůli kterým selhávala kontrola duplicitních tříd při buildu projektů.

#3075 AI: generování obrázků podle obsahu a vizuálního stylu webuZkopírovat odkaz na sekci

AI/ML Edee Nová vlastnost

Asistent v administraci i MCP klienti umí vygenerovat obrázek podle obsahu stránky a vizuálního stylu webu, upravit existující obrázek a spojit více obrázků (např. motiv stránky a přiloženou fotografii). Vygenerované obrázky jsou jen návrhy, do souborů se uloží až po potvrzení. Funkce vyžaduje obrázkový model v konfiguraci AI modulu (<model kind="image">), use case image a právo EXECUTE na položku image modulu AI; vypnout ji lze vlastností ai.image.enabled.

#3070 Šablona fulltextListing.ftl padá na zvláštních znacích v dotazu a je zranitelná vůči ReDoSZkopírovat odkaz na sekci

Fulltext Oprava chyby Ramjet

Výchozí šablona výsledků fulltextového hledání zvýrazňuje hledaný výraz doslovně — dotazy se znaky jako ) nebo [ už stránku neshodí a dotaz nelze zneužít k zahlcení serveru (ReDoS). Zvýraznění nově ignoruje velikost písmen i u znaků s diakritikou.

#3069 Limity Apache POI nejdou v lib_fulltext nastavitZkopírovat odkaz na sekci

Fulltext Oprava chyby

Office soubory, které překračují limit velikosti záznamu knihovny Apache POI, už neselhávají při každé indexaci. Zaloguje se varování a soubor se zaindexuje bez textu.

#3004 Sdílená cache neumí Redis/Valkey clusterZkopírovat odkaz na sekci

Cache Nová vlastnost

Sdílená cache (cache.distributed=redis) se nově umí připojit i ke shardovanému Redis/Valkey clusteru a přežije failover i resharding. Cluster režim zapne vlastnost cache.redis.cluster.nodes (seed nody host:port oddělené čárkou), ladit jde volitelnými cache.redis.cluster.maxRedirects, cache.redis.cluster.topologyRefreshSeconds a cache.redis.cluster.adaptiveRefreshSeconds. Nová vlastnost cache.redis.keyPrefix nastaví prefix klíčů nezávisle na cache.redis.clientName; stávající instalace s jedním serverem se nemění.

#2944 Automatická obnova / rotace PAT tokenůZkopírovat odkaz na sekci

TaskManagement

Task manager jednou denně kontroluje přístupové tokeny GitLabu u aktivních projektů a tokeny, kterým do 14 dnů vyprší platnost, automaticky obnoví na další rok. Projekty se sdíleným tokenem dostanou nový token najednou. Funkce je k dispozici už od verze 10.18.0 (tmm 3.4.0).

#2942 Stahování příloh z GitLabu přes APIZkopírovat odkaz na sekci

TaskManagement

Task manager stahuje přílohy z GitLabu přes API s přístupovým tokenem projektu; přihlašovací údaje pro webové rozhraní GitLabu (login, heslo, TOTP) se u projektů už nezadávají a byly odstraněny. Přílohy s diakritikou nebo mezerami v názvu se stahují správně. Funkce je k dispozici už od verze 10.18.0 (tmm 3.4.0).

#2928 Překlad FE produktu do DEZkopírovat odkaz na sekci

Nová vlastnost

Texty frontendu modulů mail, registrace a platebních bran (e-maily, hlášky) jsou přeložené do němčiny. Součástí je revize existujících překladů — opravy gramatiky a terminologie v němčině, polštině a maďarštině a oprava českého zdroje e-mailu o ověření staré e-mailové adresy, který mluvil o změně hesla místo změny e-mailu. Překlady modulů mail a registrace vyšly už ve verzi 10.18.0, platební brány je mají od 10.18.1 (paygate 4.4.0).

#2670 Feature flags API pro odstávky FEZkopírovat odkaz na sekci

RESTAPI

Modul <featureflagsrestapimodule/> (lib_feature_flags_rest_api, k dispozici od verze 10.18.0) publikuje vybrané feature flagy na /api/featureflags/public/server, primárně pro samostatný frontend, který potřebuje vědět o odstávce platformy a zobrazit vlastní stránku. Od verze 10.18.1 (maintenance 2.1.0) endpoint odpovídá i během odstávky, kdy zbytek webu vrací 503; projekty se skipDefaultConfig="true" na modulu odstávky musí cestu /api/featureflags/public/** povolit v <allowedUrlPath>. Zveřejní se jen flagy uvedené v konfiguraci modulu (stav odstávky edee.maintenanceMode je dostupný bez další konfigurace) a endpoint podporuje ETag. Administrátorská část s přehledem všech flagů vyžaduje právo ORGANIZE na bezpečnostní modul featureflags. Vývojový servlet /feature/flags odpovídá v testovacím a produkčním prostředí 404.