Sicherheitskorrekturen

• Security Update for CVE-2026-75140
  • jsoup bis einschließlich Version 1.23.2, behoben im Commit 862ba2f, enthält eine Sicherheitslücke im XmlTreeBuilder, die zu unkontrolliertem Ressourcenverbrauch führt. Diese ermöglicht es Angreifern, den Heap-Speicher der JVM zu erschöpfen, indem sie ein tief verschachteltes XML-Dokument mit Elementen mit eindeutigen Namespaces bereitstellen. Der Builder kopiert bei jedem Start-Element die gesamte geerbte Namespace-Zuordnung, was zu einer quadratischen Zeit- und Speicherkomplexität führt. Angreifer können dies ausnutzen, um einen OutOfMemoryError auszulösen und die Anwendung zum Absturz zu bringen.

• Hinzufügen von .search für einige der Web-API-Endpunkte, damit Benutzer eine Liste von Such-Tags anfordern können, die mit einer Suchanfrage, z.B. für Benutzer und Gruppen, verwendet werden können.

• Es können Anfrageparameter definiert werden. Sie werden bei POST- und PUT-Anfragen als Formulardaten und in allen anderen Fällen als URL-Parameter gesendet.
• Anfrageparameter werden aus der URL gelesen, wenn die Benutzeroberfläche geöffnet wird, so dass sie automatisch gesetzt und an den Server gesendet werden.

• Die WebAPI-Benutzeroberfläche wurde geöffnet, um für öffentliche Anfragen verfügbar zu sein, z. B. für den HTTP-Trigger der Aufgabenplanung, so dass der Trigger über den Browser ausgeführt werden kann
• Eingabefeld für die aktuelle URL hinzugefügt, das die Bearbeitung auf variable Teile beschränkt, die IDs erfordern
• JSON-Bereich hinzugefügt, um benutzerdefiniertes JSON an eine Anfrage-URL zu senden
• Auswahl der HTTP-Methode und des Sendeschlüssels zur erneuten Übermittlung der Anfrage hinzugefügt
• Es wurde die Möglichkeit hinzugefügt, ID-Token in der aktuellen Web-API-Sitzung zu speichern und sie automatisch zu füllen, bis die Seite aktualisiert wird

• Aktualisierung der Handhabung von Berechtigungen, um festzustellen, ob ein Benutzer Zugang zu API-Endpunkten hat