Последние обновления

• Исправления и улучшения
• Поддержка php8.2

Обновление 2.0.26 - включает в себя следующие изменения и дополнения:

1. исправлены недостатки в дизайне окна мультикорзины;
2. добавлен фирменный компонент страницы корзины с переключением между корзинами;
3. добавлена кнопка выгрузки корзин в Excel;

• Исправление ошибок
• Улучшение безопасности модуля
• Доработан механизм изменения порядка свойств с помощью перетаскивания

• Обновлена база городов SypexGeoCity
• Добавлен метод $countryCode = \Askaron\Geo\Info::getSxGeoCountryCode();. Новый метод обращается к отдельной маленькой базе SypexGeo, где только коды стран

• запись принимается только при наличии браузерного сигнала происхождения (Sec-Fetch-Site либо Origin/Referer); полностью «беспризнаковые» вызовы (curl и подобные) отклоняются;
• осознанный компромисс: privacy-клиенты, вырезающие оба заголовка, не запишут согласие — ради заметно более высокой цены офф-сайтовой автоматизации;
• для лимита по IP за reverse-proxy нужно задать доверенные прокси Bitrix («trusted_proxies»).

• Раньше файл options.php не проверял GetGroupRight() — любой пользователь с доступом хоть к каким-то настройкам модулей в админке мог менять пользовательские CSS-стили (custom_style), которые затем без экранирования подключались на каждой странице личного диска и раздела /docs/ для всех посетителей сайта. Теперь для изменения настроек модуля нужны права именно на fusion.diskfolder.

• Безопасность: устаревший диагностический скрипт admin/bitrix_server_test.php (без проверки прав, с самообновлением по HTTP) заменён безопасной заглушкой, доступной только администратору; при обновлении сам файл, его прокси в /bitrix/admin, лог и временные файлы удаляются.
• Проверка сервера переписана: доступ только администратору с проверкой sessid, оставлены только безопасные проверки (без записи файлов в /bitrix/admin, phpinfo, отправки почты и подключения к произвольной БД); добавлена проверка подключения к серверу обновлений по HTTPS (порт 443).
• Совместимость с главным модулем 25.300.0 и выше: страница результатов подключает jQuery 3 (расширение jquery удалено из ядра).
• Запросы к сервису проверки скорости выполняются по HTTPS через HttpClient ядра, адрес сайта проверяется, ответы сервиса выводятся как текст (защита от XSS); добавлена защита от CSRF (sessid).
• Адрес сайта для проверки берётся из текущего запроса, а не из заголовка Referer.
• Совместимость с PHP 8.2+; полный тег <?php во всех файлах; при удалении модуля удаляются только его собственные служебные файлы.

• Устранена SQL-инъекция на публичной странице статуса (компонент digimatix:monitor.detail): идентификатор элемента приводится к целому числу, запрос к таблице истории строится только из проверенных значений.
• Устранена инъекция команд ОС в проверке типа «Пинг»: адрес проверяется как IP или доменное имя, аргументы команды экранируются.
• Защита от SSRF: исходящие проверки (сайт, robots.txt, SSL, пинг, сервис) выполняются только по http/https и только к публичным адресам; каждый редирект проверяется. Проверку адресов внутренней сети можно включить в настройках модуля (опция «Разрешить проверку адресов внутренней сети»).
• Включена проверка TLS-сертификатов при запросах к наблюдаемым сайтам; логин/пароль сайта не передаются на другие хосты при редиректе.
• Устранены XSS в публичных шаблонах списка и детальной страницы (поиск, сортировка, название, адрес, ответы наблюдаемых серверов) и в настройках модуля.
• Добавлена проверка sessid (защита от CSRF) и валидация значений на странице настроек модуля; пароль прокси выводится в поле типа password.
• Шаблоны PATTERN и «Значение заголовка» обрабатываются безопасно: экранирование разделителя, ограничение длины и сложности (ReDoS); некорректный шаблон теперь считается ошибкой проверки.
• Сортировка списка ограничена допустимыми полями.
• Email для уведомлений и сырые ответы серверов на публичной детальной странице показываются только пользователям с доступом к модулю.
• Значения в email-уведомлениях экранируются.
• Совместимость с PHP 8.2+ (проверено на PHP 7.4, 8.2, 8.4): убраны устаревшие strftime() и str_ends_with(), объявлено свойство MODULE_PATH, исправлены обращения к неопределённым переменным и ключам массивов, вызовы несуществующих функций, некорректный тайм-аут cURL.
• Исправлен конфликт имён класса компонента digimatix:monitor с классом модуля DigimatixMonitor.
• Исправлено: при удалении модуля не снимался обработчик меню OnBuildGlobalMenu; дата «Был оффлайн» на детальной странице; признак «Уведомления Email».

• Исправлена уязвимость SSRF: внешние скрипты загружаются только по https с проверкой сертификата, запросы к внутренним и локальным адресам блокируются, редиректы проверяются повторно
• Добавлена проверка загружаемого контента (размер, тип); при ошибке загрузки сохраняется предыдущая версия кеша
• Пункты меню модуля проверяют права на модуль digimatix.filecacher
• Удален публичный файл /bitrix/tools/digimatix/optimizerlite_controller.php
• Улучшена совместимость с PHP 8.2 - 8.5: исправлены ошибки при пустых полях элементов, короткие теги заменены на <?php
• Удалены неиспользуемые JS-библиотеки (jQuery 3.3.1, dynatree) из /bitrix/js/digimatix.filecacher/

• Исправлены уязвимости по результатам проверки безопасности: ajax-обработчики шаблонов требуют авторизацию, право на модуль и sessid; служебный скрипт смены соли доступен только администратору.
• Исправлена проверка прав доступа к записям, папкам и обращениям; права на добавление и перенос записей проверяются по родительской папке; выдаваемые права проверяются по допустимым значениям.
• Добавлено экранирование пользовательских данных в шаблонах, поиске и истории; безопасная подсветка результатов поиска.
• Улучшена совместимость с PHP 8.2–8.4 при сохранении работы на PHP 7.4.
• Удалены устаревшие копии файлов шаблонов и отладочный вывод.

• Исправлены уязвимости: проверка прав администратора и sessid в обработчике настроек оформления, экранирование вывода настроек в шаблоне и на странице настроек модуля, валидация значений настроек
• Удалён неиспользуемый компонент template.settings
• Совместимость с PHP 8.2+ (с сохранением работы на PHP 7.4)

• Обновление безопасности: обработчик голосового распознавания перенесён из шаблона в отдельный файл recognize.php с проверкой метода POST, CSRF-токена сессии, размера и формата аудио и ограничением частоты запросов (на сессию и IP).
• Включена проверка SSL-сертификата при обращении к Yandex SpeechKit, запрещено следование редиректам; запросы выполняются через \Bitrix\Main\Web\HttpClient. Тексты ошибок внешнего сервиса больше не передаются в браузер — они пишутся в журнал событий.
• Удалён небезопасный файл templates/.default/proxy.php. Если вы копировали шаблон компонента alkodesign:search.suggest.input в шаблон сайта — удалите из копии proxy.php и обновите template.php и script.js.
• Добавлена валидация входных данных в component.php и search.php, ответ подсказок отдаётся в JSON без eval.
• Совместимость с PHP 8.2+ (с сохранением работы на PHP 7.x): устранены обращения к неопределённым индексам и deprecated-вызовы.
• Новые настройки: лимиты распознаваний в минуту на посетителя и на IP-адрес, режим «голосовой ввод только для авторизованных пользователей».
• Рекомендуем перевыпустить API-ключ в Yandex Cloud.

• Исправлены замечания автоматической проверки безопасности Маркетплейса: проверка прав доступа к модулю на страницах инструментов, защита от CSRF, проверка принадлежности значений выбранному свойству, экранирование вывода.
• Безопасный разбор настроек свойств (unserialize без создания объектов).
• Лицензионный ключ больше не передаётся; анонимная статистика установок отправляется только с согласия администратора (настройка модуля).
• Совместимость с PHP 8.2+ с сохранением работы на PHP 7.x.
• Исправлена замена значений у множественных свойств типа «список» и удаление элементов справочника.

• Исправлены уязвимости: проверка прав модуля на страницах удаления корзин и рассылки, защита от CSRF и проверка доступа к сайту при удалении корзины, экранирование вывода в списке корзин
• При установке и удалении модуля больше не передается лицензионный ключ
• Совместимость с PHP 8.2 и выше
• Исправлена работа параметра "Только в течение N дней" и учет недавно отправленных писем

• Устранены уязвимости, выявленные автоматической проверкой безопасности Маркетплейса (SQL-инъекция в фильтре и сортировке по SEO-шаблонам, XSS в меню, небезопасная десериализация)
• Удалена устаревшая копия классов модуля iblock: модуль использует штатный CIBlockElement, работа с SEO-шаблонами вынесена в класс CSeoElement
• Совместимость с PHP 8.2 / 8.3 / 8.4 при сохранении работы на PHP 7.4+
• Модуль больше не заменяет системный файл /bitrix/admin/iblock_element_admin.php; файл, изменённый предыдущими версиями, восстанавливается при обновлении
• Групповые действия "для всех" учитывают фильтр по SEO-шаблонам
• Статистика установки/удаления модуля отправляется обезличенно (без лицензионного ключа)
• Тексты интерфейса вынесены в языковые файлы

• Обновление безопасности: AJAX-обработчик оптимизации доступен только администратору, добавлена проверка сессии (CSRF)
• Сканирование и оптимизация ограничены каталогами сайта (вне служебной части /bitrix/)
• Экранирование аргументов при вызове jpegoptim/optipng, проверка путей и уровней сжатия в настройках
• Удалённый сервис: только HTTPS с проверкой сертификата, адрес сервиса больше не задаётся из настроек, проверка ответа
• Удалены неиспользуемые методы, обращавшиеся к внешнему серверу
• Удаляются ранее установленные копии /bitrix/admin/controller.php и /bitrix/admin/menu.php модуля
• Совместимость с PHP 8.2+

• Исправлены уязвимости по итогам проверки безопасности: обработчик /ajax/ajax.php отдаёт только активные элементы контентных инфоблоков с учётом прав доступа, имена и тексты отзывов и комментариев выводятся с экранированием, из статистики установок исключён ключ лицензии
• Совместимость с PHP 8.0–8.4 при сохранении работы на PHP 7.x: устранены фатальные ошибки в настройках шаблона, формах отзывов и комментариев, шаблонах портфолио
• Мастер установки больше не затирает настройки соцсервисов и не использует удалённые функции mysql_*
• Обновление переносит исправления в уже установленные шаблон сайта и /ajax/ajax.php, если эти файлы не изменялись на сайте