UptoSign 2.5.0 : sécurité renforcée et compatibilité Dolibarr 24

Des failles fermées

Plusieurs écrans acceptaient des actions sans vérifier le jeton de sécurité de Dolibarr : un simple lien piégé pouvait supprimer une procédure, ajouter des destinataires à une enveloppe ou modifier ses filtres. Chaque action demande désormais la bonne permission et un jeton valide.

D'autres corrections ferment une injection SQL dans la recherche des procédures, des injections de code par des libellés de catégories ou de tiers, et la possibilité d'envoyer à la signature un fichier qui n'appartient pas au document. Seul le PDF du document en cours part chez UptoSign, y compris lorsque la signature est lancée par un autre module.

Clé API et données des signataires protégées

• la clé API UptoSign n'est plus envoyée qu'à un serveur au certificat vérifié, et jamais à l'hôte d'une redirection ;
• le mot de passe du compte n'est plus réaffiché dans la page de configuration ;
• les e-mails, mobiles, noms et liens de signature ne sont plus écrits dans le journal de Dolibarr au niveau par défaut, ni dans la console du navigateur.

Facturé une seule fois

Relancer une procédure sur un PDF qui en a déjà une en cours est refusé : les signataires ne reçoivent plus deux SMS et le service n'est plus facturé deux fois. Un nouvel utilisateur ne reçoit plus par défaut le droit de lancer des signatures, qui sont facturées.

Dolibarr 24 et PostgreSQL

Dolibarr 24 supprime le modèle de facture crabe au profit de sponge. Le module installe désormais ses réglages pour sponge, octopus, eratosthene et zenith, et ne teste plus les modèles des modules désactivés. Il s'installe et se met à jour sur PostgreSQL.

Signature en masse et suppressions

• une enveloppe reçoit sa référence définitive à son premier envoi ;
• un nouvel onglet ajoute des tiers et leurs contacts selon des critères ;
• supprimer un document de n'importe quel module, ou une enveloppe, annule ses signatures encore en cours chez UptoSign ;
• supprimer un utilisateur conserve ses documents RH signés, qui servent de preuve.

Mise à jour

Après avoir remplacé le dossier du module, désactivez puis réactivez-le, puis accordez la permission "Créer et modifier les listes de signatures" aux utilisateurs qui préparent des enveloppes : elle remplace le droit de lancement sur ces écrans.

Prérequis

Dolibarr 18 ou supérieur, PHP 7.4 ou supérieur.