UptoSign 2.5.0: sicurezza rafforzata e compatibilità con Dolibarr 24

Falle chiuse

Diverse schermate accettavano azioni senza verificare il token di sicurezza di Dolibarr: un semplice link malevolo poteva eliminare una procedura, aggiungere destinatari a una busta o modificarne i filtri. Ogni azione richiede ora il corretto permesso e un token valido.

Altre correzioni chiudono un'iniezione SQL nella ricerca delle procedure, iniezioni di codice tramite etichette di categorie o di soggetti terzi, e la possibilità di inviare alla firma un file che non appartiene al documento. Solo il PDF del documento in corso viene inviato a UptoSign, anche quando la firma è avviata da un altro modulo.

Chiave API e dati dei firmatari protetti

• la chiave API UptoSign viene ora inviata solo a un server con certificato verificato, e mai all'host di un reindirizzamento;
• la password dell'account non viene più visualizzata nella pagina delle impostazioni;
• le e-mail, i cellulari, i nomi e i link di firma non vengono più scritti nel registro di Dolibarr al livello predefinito, né nella console del browser.

Fatturato una sola volta

Il rilancio di una procedura su un PDF che ne ha già una in corso viene rifiutato: i firmatari non ricevono più due SMS e il servizio non viene più fatturato due volte. Un nuovo utente non riceve più per impostazione predefinita il diritto di avviare firme, che sono fatturate.

Dolibarr 24 e PostgreSQL

Dolibarr 24 rimuove il modello di fattura crabe a favore di sponge. Il modulo installa ora le sue impostazioni per sponge, octopus, eratosthene e zenith, e non testa più i modelli dei moduli disattivati. Si installa e si aggiorna su PostgreSQL.

Firma massiva e eliminazioni

• una busta riceve il suo riferimento definitivo al primo invio;
• una nuova scheda aggiunge soggetti terzi e i loro contatti secondo criteri;
• eliminare un documento da qualsiasi modulo, o una busta, annulla le sue firme ancora in corso presso UptoSign;
• eliminare un utente conserva i suoi documenti HR firmati, che servono da prova.

Aggiornamento

Dopo aver sostituito la cartella del modulo, disattivatelo e riattivatelo, quindi concedete il permesso "Crea e modifica le liste di firme" agli utenti che preparano le buste: sostituisce il diritto di avvio su queste schermate.

Prerequisiti

Dolibarr 18 o superiore, PHP 7.4 o superiore.