Joomla! 1.5.13 セキュリティリリース

[kasuga]

Joomla プロジェクトから Joomla 1.5.13 [Wojmamni ama baji] のリリースが発表されました。これはセキュリティ リリースであり、ユーザーは直ちにアップグレードを行う事を強く推奨します。

このリリースには 26 件のバグフィックスと、2件の緊急性：中のセキュリティフィックス、1件の緊急性：低のセキュリティフィックスが含まれています。Joomla 1.5.12 が2009年7月1日にリリースされて以来3週間が経過しています。デベロップメント ワーキング グループの目標は、Joomla コミュニティに定期的で頻繁なアップデートを提供する事です。

※誤訳が含まれている可能性があります。正確な情報はオリジナルを参照してください。
※今回、バグ修正やセキュリティフィックスの件数報告が明らかに間違っていますが、翻訳時点のオリジナルのままとしています。

ダウンロード
Joomla 1.5.13 (フルパッケージ) をダウンロードするにはここをクリック »

アップデート パッケージを探すにはここをクリック »

手順

• 新規インストールおよび技術要件
• 既存の Joomla 1.5 バージョンからのアップグレード
• Joomla! 1.0.x からの移行

Joomla を試してみますか? オンライン デモか Joomla JumpBox を試してみてください。初心者向けのドキュメントはこちら。

アップグレード実施する前には常にサイトのバックアップを行ってください。

リリースノート
リリース後に発見された重要事項や役立つヒントがないかは Joomla 1.5.13 Post-Release Notes を参照してください。

コアテンプレートに手を加えている場合はアップグレードの前にそれらをバックアップしてください。

セキュリティ
このリリースでは、1件の緊急性：低、2件の緊急性：中のセキュリティ問題が修正されています。

• 緊急性：高 コア - ファイルのアップロード。詳細情報 »
• 緊急性：中 コア - XSS. 詳細情報 »

更なる情報については Joomla Security Center を訪問してください。

コンポーネント

• 編集アイコンが正しい位置に表示されるようになりました (16726)
• フロントエンドでのアカウント登録時に "usertype" カラムがデータベースに正しく保存されるようになりました (16073)

モジュール

• このリリースではモジュールに関する修正はありません

プラグイン

• PHPDoc コメントのタイポエラーが修正されました (15548)
• TinyMCE エディターが圧縮 (compressed) モードでも動作するようになりました (17058)
• メディア管理 (Media Manager) がアップロードの正常完了後に正しくメッセージを表示するようになりました (17053)
• アップロード権限を持っていないユーザーがイメージ ボタンを使える問題 (17101)

レガシー

• このリリースにはレガシーに関する修正はありません

テンプレート

• このリリースにはテンプレートに関する修正はありません

ランゲージ

• メディア管理 (Media Manager) のエラーメッセージが翻訳されました (17008)

管理者

• このリリースには管理者機能に関する修正はありません

システム

• このリリースにはシステムに関する修正はありません

[kozaki]

Kasugaさんお疲れ様です。

TinyMCEをいろいろさわっていてアップデートしてから、以下の現象がありました。

Javascriptエラー
Noticeエラーが表示される状態でJoomla!をお使いの方は、TInyMCEを使用するとJavascriptエラーが発生することがあります。

メディアマネージャーがFatalエラーで動きません。
userオブジェクトが無いことが原因です。

以上の現象は、1.5.12から1.5.13へのアップデートパッチを適用してから発生しています。
フルパッケージは、確認していません。

仮対応として以下のようにしました。
Javascriptエラーに対しては、
plugins/editors/tinymce.php 496行目

コード: 全て選択

$file_browser_callbackを削除

メディアマネージャーに対しては、
administrator/components/com_media/views/media/view.html.php　85行目辺りに以下の2行を追加

コード: 全て選択

      $user = & JFactory::getUser();
      $this->assignRef('user', $user);

とりあえず、気がついたのはこの2点です。

慌てた感を感じたような気がしました。

[itami]

JU版作成のため、フルパッケージのクリーンインストールで確認しました。
「メディア管理」が全く変ですね。（管理テンプレートが表示されていない様子です）
それとエディタの表示も変です。

ff_73.png (90.52 KiB) 表示回数: 1315 回

以下はyamamoto さんのページで配布されているTinyMCE3.2.1.1に差し替えた状態です。

ff_75.png (13.25 KiB) 表示回数: 1319 回

JU版パッケージのリリースは一先ずストップします。

[kozaki]

それとエディタの表示も変です。

設定を見直して保存しなおしたら、たぶん大丈夫です。

おそらく、すぐにまたアップデートされるでしょうね。
ログインなしでファイルアップロード、削除ができるらしいので、アップデートは必要ですね。エラーが出ようが出まいが。

ちょうど、JContentPlusで画像挿入をやろうかと思ってたときなので良いきっかけになりました。

[itami]

了解しました。1.5.13 のJU版のリリースは控え、本家サイトよりのダウンロードをお勧めします。

設定を見直して保存しなおしたら、たぶん大丈夫です。

この設定はプラグイン管理の Editor - TinyMCE の設定ですか? 　触って見たんですが。。

[kozaki]

tinyMCE1.5.13.png (24.91 KiB) 表示回数: 1299 回

現状

tinyMCE_params001.png (23.44 KiB) 表示回数: 1299 回

Functionalityの設定でJavascriptのエラーが出るか出ないかが異なると思います。

tinyMCE_params002.png (31.29 KiB) 表示回数: 1299 回

これは、関係ないかも

それもこれも、ブログエディタでは、できないコンテンツ内へのリンク挿入に対応するためエディタまわりをごそごそさわっていたのですが、
エディタで画像挿入したときってポップアップのリンクをはるためにもう一度リンク挿入の操作をしないとダメなんですね。
知らなかった・・・。（忘れていたのかも）

こんな面倒だったなんて知りませんでした。

[itami]

ここですよね。　もう少し試してみます。
PS: http://juser.jp/dev/ は1.5.13です。

[Hanji]

こちらを参照して見てください。

http://forum.joomla.org/viewtopic.php?f=430&t=423159

[kozaki]

こちらを参照して見てください。

先に私が書いている内容と同じだと思いますが、私は何か新しい情報を見逃していますか？

[Hanji]

参考情報源は、こちらにもありますよと言う程度のものですのであまり気になさらないで下さい。海外でも色々と同じような問題が発生しているようですね。