Fluid-Form by coding.ms: Sicherheitsfixes und Token-Update
FEATURE
0 gesamt
TASK
0 gesamt
BUGFIX
0 gesamt
BREAKING
0 gesamt
Beschreibung
Fluid-Form by coding.ms 6.0.6 enthält mehrere sicherheitsrelevante Korrekturen und eine Überarbeitung der Dokumentation. Aktualisiere zeitnah, da die Änderungen unautorisierte Dateizugriffe und HTML-Injection in E‑Mail-Zusammenfassungen verhindern.
- Kryptographisch sichere Download-Tokens: Der unsichere Einsatz von
uniqid()wurde durch einen cryptographically secure, non-guessable Token ersetzt (random_bytes). Praktischer Nutzen: Tokens lassen sich nicht mehr erraten, wodurch die Gefahr von unbefugtem Dateiabruf reduziert wird. - Konstanter Vergleich von Dateinamen: Dateinamen werden nun in konstanter Zeit verglichen, um IDOR-Dateizugriffe zu verhindern (CWE-639). Praktischer Nutzen: erschwert Timing-Angriffe, die auf unautorisierte Zugriffe abzielen.
- Escape von nutzerbasierten Feldwerten in der E‑Mail-Zusammenfassung, um HTML-Injection/XSS zu verhindern (CWE-79). Praktischer Nutzen: verhindert das Einschleusen und Ausführen von HTML/JS in E‑Mail-Darstellungen.
- Entfernen des geheimen Download-Tokens aus dem Klartext der E‑Mail: Das Token wird nicht mehr im Textkörper angezeigt, bleibt aber im funktionierenden Download-Link (href). Praktischer Nutzen: verhindert das unbeabsichtigte Offenlegen des Tokens in Klartext-E-Mails.
- Erweiterte und neu aufgebaute Dokumentation zur besseren Nachvollziehbarkeit der Änderungen und Implementierungshinweise.
Change-Log
## 2026-10-20 Release of version 6.0.6
* [BUGFIX] Security Fix - Please update ASAP - Use a cryptographically secure, non-guessable download token (random_bytes) instead of uniqid() and compare file names in constant time to prevent IDOR file access (CWE-639)
* [BUGFIX] Security Fix - Please update ASAP - Escape user-provided field values in email summary to prevent HTML-injection/XSS (CWE-79)
* [BUGFIX] Remove the secret download token (uniqueId) from the plain-text email body - it looked like a broken link and leaked the download token in clear text; the working download link keeps the token only in the href
* [TASK] Extend and rebuild documentation
TYPO3-News
Fluid-Form by coding.ms: Sicherheitsfixes und Token-Update
Release of version 6.0.6
- Extension