UptoSign 2.5.0: verstärkte Sicherheit und Kompatibilität mit Dolibarr 24

Geschlossene Sicherheitslücken

Mehrere Bildschirme akzeptierten Aktionen, ohne das Sicherheitstoken von Dolibarr zu überprüfen: Ein einfacher präparierter Link konnte ein Verfahren löschen, Empfänger einer Hülle hinzufügen oder deren Filter ändern. Jede Aktion verlangt nun die richtige Berechtigung und ein gültiges Token.

Weitere Korrekturen schließen eine SQL-Injection bei der Suche nach Verfahren, Code-Injectionen durch Bezeichnungen von Kategorien oder Geschäftspartnern und die Möglichkeit, eine Datei zur Signatur zu senden, die nicht zum Dokument gehört. Nur das PDF des aktuellen Dokuments wird an UptoSign gesendet, auch wenn die Signatur von einem anderen Modul gestartet wird.

API-Schlüssel und Unterzeichnerdaten geschützt

• der UptoSign-API-Schlüssel wird nur noch an einen Server mit überprüftem Zertifikat gesendet und niemals an den Host einer Weiterleitung;
• das Passwort des Kontos wird nicht mehr in der Einstellungsseite angezeigt;
• E-Mails, Mobilnummern, Namen und Signaturlinks werden nicht mehr im Dolibarr-Protokoll auf Standardebene oder in der Browserkonsole aufgezeichnet.

Nur einmal in Rechnung gestellt

Das Neustarten eines Verfahrens für ein PDF, das bereits eines in Bearbeitung hat, wird abgelehnt: Die Unterzeichner erhalten keine zwei SMS mehr, und der Dienst wird nicht mehr zweimal in Rechnung gestellt. Ein neuer Benutzer erhält standardmäßig nicht mehr das Recht, Signaturen zu starten, die in Rechnung gestellt werden.

Dolibarr 24 und PostgreSQL

Dolibarr 24 entfernt das Rechnungsmodell crabe zugunsten von sponge. Das Modul installiert nun seine Einstellungen für sponge, octopus, eratosthene und zenith und testet nicht mehr die Modelle deaktivierter Module. Es lässt sich auf PostgreSQL installieren und aktualisieren.

Massensignatur und Löschungen

• eine Hülle erhält ihre endgültige Referenz bei ihrem ersten Versand;
• ein neuer Reiter fügt Geschäftspartner und deren Kontakte nach Kriterien hinzu;
• das Löschen eines Dokuments aus einem beliebigen Modul oder einer Hülle bricht deren noch laufende Signaturen bei UptoSign ab;
• das Löschen eines Benutzers behält dessen unterzeichnete Personalunterlagen, die als Nachweis dienen.

Aktualisierung

Nachdem Sie den Modulordner ersetzt haben, deaktivieren Sie ihn und aktivieren Sie ihn erneut, und gewähren Sie dann die Berechtigung „Signaturlisten erstellen und bearbeiten“ den Benutzern, die Hüllen vorbereiten: Sie ersetzt das Startrecht auf diesen Bildschirmen.

Voraussetzungen

Dolibarr 18 oder höher, PHP 7.4 oder höher.