Concrete CMS 9.5.1 リリースノート

管理画面・ページ管理に関する改善

• 管理画面ページなどのシステムページを、移動・コピーできないようになりました。

アンケートに関する改善

• 匿名アンケートで、Cookie に加えて IP アドレスも確認し、投票済みかどうかを判定するようになりました。

エクスプレスに関する改善

• エクスプレス一覧 / 詳細 ブロックで、連番ID ではなく公開識別子を使用するようになりました。
  これにより、エントリーID の推測による情報参照リスクが軽減されます。

表示文言に関する改善

• CKEditor のダイアログ内に表示される "サーバブラウザ" が "ファイルを選択" に変更されました。

表示・操作性に関する改善

• ヒーロー画像ブロックにおいて、スライダー変更時に高さ設定が即時反映されるようになりました。

補足

本バージョンでは、管理画面のご操作帽子、アンケートやエクスプレスの安全性向上など、運用時の安全性に関わる改善が中心となっています。

レイアウト操作に関する修正

• レイアウト削除時の確認メッセージで、実際の挙動と文言が一致していない問題が修正されました。

• 一部のサーバー環境では、メール送信設定の見直しが必要になる場合があります。
• 特に、サーバー側で proc_open が無効化されている場合、ローカル sendmail を使ったメール送信が正常に動作しない可能性があります。
• 該当する場合は、SMTP サーバーを使ったメール送信設定への切り替えが推奨されています。(thanks mlocati)

本バージョンでは、多数のセキュリティ修正が含まれています。
特に以下の機能を利用しているサイトでは、アップデートの優先度が高めとなっています。

• エクスプレス
• ファイルマネージャー
• 会話機能
• カレンダー
• アンケート
• OAuth
• マーケットプレイス / パッケージ管理
• レガシーフォーム
• サマリーテンプレート

主な修正内容は以下のとおりです。
※ 技術的・詳細な内容は後述の開発者向けの内容をご覧ください。

管理者権限を悪用したリモートコード実行対策

• コンポーザー フォームレイアウト のカスタムテンプレート保存処理で、パストラバーサルが適切に除去されない問題が修正されました。
• エクスプレス一覧 ブロックで、安全ではないデシリアライズによりリモートコード実行につながる可能性がある問題が修正されました。

権限チェック・情報漏えいに関する修正

• ファイルの利用状況、会話メッセージ、カレンダーイベント、エクスプレスエントリーなどで、権限のないユーザーが情報を取得できる可能性がある問題が修正されました。

CSRF・不正操作に関する修正

• マーケットプレイス連携、パッケージ操作、ファイル削除などで、CSRF 対策が不十分な箇所が修正されました。

XSS に関する修正

• レガシーフォームや一部の表示処理で、細工されたURLや入力値によりスクリプトが実行される可能性がある問題が修正されました。