Concrete CMS 8.5.18 リリース

Concrete CMS 8.5.18 がリリースされました。
本ページは以下の原文を翻訳しています。
https://github.com/concretecms/concretecms/releases/tag/8.5.18

 バグ修正

• デフォルトでチェックされているブーリアンページ属性が、チェックされていない状態で保存されていても、チェックされた状態で表示されるバグを修正しました。(thanks hissy)
• 特定の条件下でRedisを使用してセッションを保存しようとした際の問題を修正しました。(thanks mlocati)

セキュリティアップデート

• バージョン 9 のcommit 12166 およびバージョン 8 の commit c08d9671cec4e7afdabb547339c4bc0bed8eab06 で RSS Displayer の CVE-2024-4350 Stored XSS を修正しました。修正前は、不正な管理者が入力検証の不十分なフィールドに悪意のあるコードを注入する可能性がありました。コンクリートCMSのセキュリティチームは、この脆弱性にCVSS v3.1スコア3.0（ベクトル：AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:N/A:N）、CVSS v4スコア2.1 (ベクトル： CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N) を与えました。 HackerOne 2479824 を報告してくれた m3dium に感謝します。
• バージョン 9 のcommit 12166 およびバージョン 8 の commit c08d9671cec4e7afdabb547339c4bc0bed8eab06で、出力される Board インスタンス名をサニタイズすることにより、getAttributeSetName() の CVE-2024-7394 Stored XSS を修正しました。修正前は、不正な管理者が悪意のあるコードを注入する可能性がありました。コンクリートCMSチームは、これをCVSS v3.1ランク2（ベクトル：AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N）、CVSS v4.0ランク1.8（ベクトル：CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N）としました。HackerOne 2463288を報告してくれたm3dium氏に感謝します。
• curlが投稿をロードできない場合、RSS Displayerブロックでより一般的なエラーメッセージを表示する。HackerOne 2479824でこれを推奨してくれたm3diumに感謝します。