Redmine-TW

安全修復

所有三個版本（6.1.2、6.0.9 和 5.1.12）均包含以下安全修復：

• 缺陷 #43661：AttachmentsHelper 中不安全的 eval 使用

• 缺陷 #43690：檔案系統 SCM 中透過反斜線分隔路徑進行目錄遍歷

• 缺陷 #43691：@mention 自動完成中透過未轉義的使用者名稱進行的 DOM（儲存型）XSS 攻擊

• 缺陷 #43692：LDAP 注入（LDAP 搜尋過濾器中的未轉義輸入）

• 缺陷 #43694：DOM XSS：透過查詢過濾器產生中的自訂欄位名稱進行 HTML 注入

• 缺陷 #43830：僅允許查看自己時間條目的使用者可以透過 REST API 直接指定 TimeEntry ID 來檢索其他使用者的時間條目詳細信息

• 缺陷 #43864 / #43840：將 Nokogiri 更新至 1.18.9 (5.1.12) 或 1.19.1 (6.1.2 和 6.0.9)。

維護改進

Redmine 6.1.2 包含大量維護修復（共 30 項）。

• 針對 RTL 語言的一系列新修復

• SVG 圖示：主題開發者現在可以覆蓋預設圖示精靈，詳情請參閱 #43087

• recent_pages 巨集現在支援 include_subprojects 參數

下載和更新日誌

您可以在「下載」部分找到新版本。如需查看完整的變更列表，請查看每個版本的詳細 更新日誌。

非常感謝所有為這些版本做出貢獻的人，特別是那些負責任地報告安全問題的人（Sho Odagiri 和 kaminuma）。

安全修復
Redmine (6.1.1, 6.0.8, and 5.1.11) 系列的最新維護版本現已開放下載。這些版本修復了三個安全漏洞，並進行了多項錯誤修復和改進:

• Defect #43451: 偽裝成 PDF 的 PostScript 檔案可透過產生縮圖導致任意檔案的操作行為
• Defect #43634: Redmine 中的授權繞過機制允許修改不可見問題的附件元資料
• Defect #43635: Redmine 中的授權繞過機制允許刪除不可見問題的附件

維護改進
Redmine 6.1.1 包含大量維護修復（共 34 項），特別著重於使用者介面:

• RTL Support: 修正了 RTL 佈局的許多問題，包括修正了反應按鈕、複製按鈕和頭像的位置。
• Text Formatting: 改進了 CommonMark 提示訊息，包括本地化標題（註釋、提示、警告等）、新增了對中日韓語言友好的強調擴展，以及對任務清單項目的自動清單標記支援（#43234、#43379、#43265）。
• SVG Icons: 持續改進新的 SVG 圖示系統，並提升視覺一致性。

下載和更新日誌
您可以在「下載」找到新版本。如需查看完整的變更列表，請查看每個版本的詳細「更新日誌」
非常感謝所有為這些版本做出貢獻的人員，尤其感謝那些負責任地報告安全問題的使用者（YesWeHack 的 Elweth 和 Abor）。

新年快樂！

1. 主要功能：

• 內容點讚：使用者可以對問題、註釋、新聞和論壇帖子添加回饋 (#42630)。
• Auth2 support：Redmine 現在可以作為 OAuth2 提供者 (#24808)。
• 使用者姓名首字母為頭像：已實作原生頭像，當 Gravatar 服務停用時，系統會將使用者姓名首字母顯示為頭像 (#29824)。對於使用 Gravatar 服務顯示用戶頭像的用戶，我們新增了 Gravatar 近期推出的「姓名首字母」選項的支援 (#42623)。
• 「進度條」自訂欄位：引入了一種新的自訂欄位格式，其行為類似於現有的「完成率」問題欄位 (#42335)。

2. 使用者介面改進：

• 議題工單頂部固定標題：滾動瀏覽較長的問題頁面時，問題主題現在仍然顯示在螢幕頂部，從而避免了意外更新錯誤問題 (#42684)。
• 複製按鈕：API 金鑰和預程式碼區塊中的內容可以直接複製到剪貼簿 (#5953, #29214)。
• 圖示更新：追蹤圖示已變更為眼睛 (#31531)，引用註解圖示已變更為引號 (#31531)。
• 日誌/評論/回應外觀更新：這三個現在都使用相同的結構 (#42972)，並且外觀已更新 (#40744)，以簡化視覺。

3. 文字格式改進：

• 自動清單標記插入：使用 Markdown 或 Textile 格式編輯清單項目後的文字時，按 Enter 鍵將自動插入下一個清單標記 (#43095)。
• CommonMark 警報擴充已啟用：此擴充功能現已啟用，可用於將文字高亮顯示為「註解」、「提示」、「警告」、「注意」和「重要提示」(#42603)。
• 改進的 HiDPI 顯示：插入到問題和其他內容中的影像將在高像素密度螢幕上自動調整為正確的大小 (#38504)。
• {{recent_pages}} 巨集：新巨集顯示最近更新的 Wiki 頁面清單 (#38501)。

4. 管理員增強功能：

• 可設定列：現在可以使用可設定列自訂子問題和相關問題的清單 (#42477)。
• 已關閉問題的時間追蹤：現在可以設定關閉問題後是否允許輸入時間 (#13596)。
• 可設定的自動監視：現在可以自訂自動監視問題的預設設定 (#42880)。
• 停用 wiki 內容中的 JavaScript 表格排序：管理員現在可以停用此功能，該功能在某些情況下可能會造成困擾 (#40588)。此外，新安裝的版本已停用該設定。
• 角色刪除的改進：角色刪除的錯誤訊息現在會列出正在使用該角色的項目，並包含指向項目設定頁面的連結（功能 #42441）。

5. Rails、Ruby 和其他技術改進：

• 現在支持 Ruby 3.4 (#41976)，並已放棄對 Ruby 3.1 的支持 (#42496)。
• Stimulus 已作為現代 JavaScript 框架添加到核心 (#42510)。目前，僅使用這個新框架實現/現代化了一些功能，但我們將繼續在 Redmine 7 中採用它。
• 14 issue tickets 可提高效能。除此之外，Redmine 開發人員現在可以使用 bullet gem 自動偵測低效率的資料庫查詢 (#42555)。
• Redmine::I18n::Backend 已移除 (#42859)。
• CommoMark 提供的任務清單項目現在使用 commonmarks tasklist 擴充。 dekar01-task_list gem 已移除。

您可以從 下載頁面下載新版本，並查看完整的 更新日誌。

非常感謝所有為此版本做出貢獻的貢獻者，尤其感謝積極改進 Redmine 的 Go MAEDA 和他的團隊（Katsuya HIDAKA、Mizuki ISHIKAWA），以及 Plan.io（Jens Krämer、Holger Just）的傑出貢獻，以及其他許多貢獻者。

Redmine 版本狀態與發布政策更新：

• 正如我們在 Redmine 6.0.7、5.1.10 和 5.0.14 發佈時所宣布的那樣，Redmine 5.0 現已終止服務。
• Redmine 5.1 現在是舊版本，只接收安全更新。
• Redmine 6 系列是穩定版本。
• Redmine 7.0.0 是下一個主要版本。

Redmine 計劃調整主要版本的發布週期，以符合 Ruby/Rails 的發布週期，並更快地支援新版本。希望從明年開始就能實現這個目標。

安全修復：

所有版本均包含以下安全修復：
缺陷 #42998：使用者名稱和密碼儲存在登入表單中
缺陷 #43083：雙重認證中的資訊洩露
缺陷 #43161：複製問題時，所有現有的自訂值未經充分驗證就被設定為新問題

從這些版本開始實施了一項新的安全措施（#42998），以改進 Redmine 處理敏感資訊的方式。以下表單新增了 no-store 快取 Header：login、lost password、change password、sudo pages、auth_source、user、repository 和 accounts#register。

感謝社群的貢獻。
Redmine 5.0 生命週期結束公告

Redmine 6.1.0 將於稍晚發布，在此提醒大家，這將標誌著 Redmine 5.0 系列的生命週期結束。如果您目前正在使用 5.0 分支中的某個版本，我們強烈建議您盡快升級，以便繼續接收更新和安全性修補程式。

1. Rails 和 Ruby 支持：
   • Redmine 6 已升級至 Rails 7.2 (#36320)，這是最新的 Rails 版本
   • 現在支援 Ruby 3.3 (#39761)
   • 對 Ruby 2.7 和 3.0 的支援已被刪除 (#38585)
2. 已啟用 Propshaft 的資產管道整合 (#39111)：
   • Redmine 資產已從 public 轉移到 app/assets，以符合 Rails 標準
   • 當發現更新時，assets 會在生產模式下自動重新編譯，以便不需要額外的命令，但您可以從配置中停用此行為（config.assets.redmine_detect_update）
   • [重大變更] 主題現在從專案根目錄中的 themes 而不是 public/themes 加載，請相應地更新您的安裝。作為一個輕量的改動，我們不提供任何 rake 任務來自動進行此更改。
3. 刪除了對 Markdown（基於 Redcarpet） 的支援 (#40149)：
   • 所有使用已棄用的 Markdown（基於 Redcarpet）的安裝都會透過遷移自動切換到 CommonMark
   • 由於這些渲染引擎略有不同，您可能需要檢查和調整一些現有的 Markdown 內容以確保其正確顯示
4. 圖示已替換為 Tabler 提供的 SVG 圖示 (#23980)：
   • 圖示由 (icons.svg) 提供
   • 為了幫助渲染圖標，新增了一個新的幫助器類別（app/helper/icons_helper.rb）。大多數方法都使用 svg_sprite 方法，該方法允許各種配置、設定大小或渲染由插件或不同精靈檔案提供的圖標
   • 在選單中新增項目的插件還可以從自己的精靈檔案中指定圖標
   • 舊圖像和自訂 CSS 樣式仍然在 6.0.0 中提供，使過渡更容易，但它將被刪除，如下所示：
     • 來自 app/assets/stylesheets/application.css 的 CSS 樣式：6.1.0 中
     • 舊圖示影像：在版本 7.0.0 中
   • 如果您發現任何仍在使用舊設計的圖標，請開啟新問題，我們將在第一個維護版本中發布更新
   • 新增了 rake 測試（圖示：*）以根據設定檔從 Tabler 下載圖示。該任務還支援從下載的圖示產生精靈。
5. 介面調整：
   • 預設字體系列已更改為 Noto Sans 字體 (#41321)
   • 精緻的 UI，更新了框架樣式和邊框顏色 (#41298)
   • 標題設計略有變動 (#41266)
   • CSS 字體大小單位從 px 到 rem，以尊重瀏覽器字體設定 (#2499)
6. 新功能和增強功能，其中一些是期待已久的功能：
   • 側邊欄可折疊，狀態保存在瀏覽器本機儲存中 (#21808)
   • 預計剩餘時間已新增為查詢列和版本頁面 (#38853)
   • 引用現有文本現在支援問題和論壇中的部分引用 (#41294)
   • 現在可以將描述新增至查詢 (#9309)
   • 將「作者/前受讓人」群組新增至問題表單中的受讓人下拉清單中 (#16045)
   • 支援 Web UI 中小時數的本地化小數分隔符號 (#21677) 和浮點值 (#22024)
   • 將上次活動日期新增至項目清單可用欄位 (#23954)。您暫時無法按此列排序
7. API變更：
   • Updated_on 和 Updated_by 加入到日誌回應
   • 使用者狀態新增至使用者清單回應 (#38948) 並將 auth_source 新增至使用者回應 (#23307)
8. 安全性改進：新角色和現有內建角色的使用者可見性從「所有」更改為「可見項目的成員」(#38853)：
   • 我們這樣做是為了改善預設設定並降低專案公開時向公眾公開登入帳戶的可能性。如果您需要恢復到先前的行為，則需要將內建角色的使用者可見性明確設定回「全部」。 有關所有改進和修復的詳細概述，請參閱 變更日誌。

在此次版本釋出後，Redmine 4.2.x 將不再維護，Redmine 5.0.11 是Redmine 5.0 分支的最新版本，此後它將僅收到重要的安全更新。

很高興終於發布了一些我所關注的新功能。感謝參與此版本的每個人，特別感謝 Takashi Kato 在 #36320和 #39111上所做的工作，Go MAEDA 和他的團隊的積極開發以及許多其他貢獻者。