Последние обновления

• Пользовательская настройка "Значение по умолчанию" для блоков, block_defaults (предложил @artem_bobchihin)
• Отображение id блоках "Инфоблоки. Элементы, категории, Медиабиблиотека"
• Отображение названия файла в списке пользовательских настроек, вместо заголовка
• Поддержана совместимость с php 7.4 (предложил @alex_foxel)
• Исправление уязвимости CWE-459, метод bitrixSaveCollection (прислала Гончарова Анастасия)
• Безопасный вывод данных в таблицах

• Устранён ряд уязвимостей безопасности: CSRF, IDOR, небезопасная десериализация, SQL-инъекция, межсайтовый скриптинг (XSS), утечка отладочной информации
• Добавлена проверка CSRF-токена и прав на конкретную задачу при изменении плановых дат в компоненте Dashboard (change-task.php)
• Список и фильтр задач в AJAX-обработчиках (tasks.list, tasks.iframe.popup) переведены на allowlist разрешённых полей вместо приёма произвольной структуры фильтра/сортировки из запроса
• Одноразовый миграционный код (заполнение плановой даты) убран из рендера компонента tasks.list — раньше выполнялся при каждом показе страницы для любого пользователя
• Добавлено экранирование пользовательских данных при выводе в шаблонах Dashboard и списка задач (заголовки задач, ФИО, названия отделов и рабочих групп)
• Десериализация внутренних настроек модуля переведена на безопасный режим (allowed_classes=false)
• Удалён отладочный вывод (var_dump) со страницы настроек прав модуля

• Устранены уязвимости безопасности: CSRF при сохранении настроек модуля, несколько мест с XSS в административном интерфейсе, отсутствие проверки прав доступа в AJAX-обработчиках, потенциальное выполнение произвольного PHP-кода в пользовательском колбэке ограничения "PHP функция", отладочные логи с данными посетителей в файлах, доступных через веб
• Исправлена ошибка в ограничении по НДС (параметр "только одно совпадение" не работал)
• Исправлен обход ограничений по товару, количеству и наименованию через торговые предложения (SKU)
• Исправлено небезопасное поведение (fail-open) в ограничении "Исключить локацию доставки" при ошибке определения локации
• Обеспечена совместимость кода с PHP 8.2 и выше

Изменено:

• Для шаблона Аспро Некст реализовано стилистическое отображение галки согласия на странице оформления заказа и в форме заказа в один клик согласно настройкам шаблона Аспро.

• Усилена проверка прав доступа к настройкам и журналу согласий;
• Добавлена проверка POST-запросов и сессии Bitrix для административных изменений;
• Исправлены экранирование данных журнала, CSV-экспорт и проверка загружаемой иконки;
• Исправлено сохранение выбора категорий cookie и подключение разрешённых скриптов;
• Обновление учитывает стандартное расположение модуля в /bitrix/modules и /local/modules.

• Исправления безопасности.

• обновился механизм отправки комментариев и уведомлений
• в мобильной версии переработан ajax-обмен комментариями
• Устранение уязвимостей

• Проверка директории конфига (реализовал @karedum Дмитрий Воротынцев)
• Экспорт свойств элементов инофблока в зависимости от раздела (реализовала @arinamirosha Arina)
• Добавлена поддержка файлов из S3/cloud-хранилища Битрикса (реализовал @temi4 Artem)
• Исправлена проверка наличия символьного кода у связанных элементов (нашёл @zhenikhovs)