リリース情報adiary::リリースダウンロードはこちらから。Ver3.20以降の変更による累積的なバグ修正、httpd/EXEの修正が多めです。Ver3.23の変更点Pocketのシェア数が取得できなくなっていたので取得機能を削除しました。*1デフォルトアイコンとデフォルトロゴを変更しました。静的HTML出力が無効のとき、管理者以外にはエラーメッセージを表示しないように変更。管理メニューの流れを少し改善しました。記事編集画面でファイルアップロードの進捗を表示するよう変更。アルバムと記事編集画面のファイル選択ボタンのデザインを変更。【アルバム】アップロード中の進捗を表示するように変更。【アルバム】ファイルリネーム時に、画像以外はサムネイルを再生成するよう変更。接続するのを止め、若干高速化しました。【httpd/EXE】index.htmlを有効化しました。【httpd/EXE】大きいファイルをダウンロードする場合、すべてメモリに展開しないようにしました。【adiary.conf.cgi.sample】大きいファイルはテンポラリに書き出すよう変更。【adiary.conf.cgi.sample】<$Form_options.multipart_use_temp>を<$Form_options.use_temp_flag>に変更。*2【plugin】非公開コメントにヘルプを出せる機能を追加。【Fix/plugin】Twitter通知プラグイン。2018/06/13以降、新規認証に失敗していた。【Fix/Ver3.20-】デザイン編集時に、ヘッダが常に標準のまま(非カスタム状態で)出力されてしまう。【Fix】稀に最初のファイルアップロードに失敗することがある。【Fix】静的出力時、ヘッダにゴミが出力される。【Fix】致命的エラーメッセージ(初期ディレクトリ作成失敗)がきちんと表示されない。【Fix】大きなファイルを送信されたとき、<$Form_options.multipart_use_temp_dir>を設定していても、すべてメモリに展開していた。パーティションが異なるディレクトリを指定すると、アップロードに失敗する。【Fix】コメント欄でTABが入力できないことがある。【Security/httpd/EXE】HTTP_HOSTヘッダにタグを挿入可能だった。*4【Security】HTTP_HOSTヘッダに虚偽の設定をした上でコメントを投稿するとRSSのホスト名部分を外部から書き換えられてしまう。ディレクトリ名を設定するのかフラグを設定するのか非常にわかりにくく、自分でハマってしまったので......。multipart_use_temp_dirを設定していない場合、無条件にメモリに展開します。RSS以外に展開されることはないので、実害はあまりない。Hostヘッダインジェクションと呼ばれる攻撃です。呼ばれる設定を使用しているため問題ありません。Hostヘッダインジェクションについて今回のバージョンアップで、RSSのホスト部分を第3者が書き換え可能になるセキィリティホールが修正されています。一般的なレンタルサーバでは問題ありません。独自サーバ等でも、(最初以外の)VirtualHost部分にadiaryの設定がある場合は問題ありません。設定されている場合問題ありません。いわゆるHostヘッダインジェクションと呼ばれる問題で、Hostヘッダからサーバのホスト名を設定する仕様が原因になっています。Host名として不正なものはサーバソフトウェアが弾くのでJavaScriptを埋め込まれるといった問題は起こりませんが*6、RSSのURLが書き換えられる問題はおきます。生成し記録しておくなどの方法が有効です。adiary.httpd.plのVer1.04以前にはこの問題が存在しますが、HTTP_HOSTをそのまま埋め込むのはRSSのみなのでスクリプトを実行することはできません。RSSのXMLをパースエラーにする程度です。情報を記録するようにしました。使わせてもらっています。深夜0時38分>>1ピリオド以降はすべて拡張子として判定されています。これはApacheの仕様によります。無制約に拡張子を許可してしまうと、とても危険ですので現状は制限をかけています。仕様の旨、了解しました。ファイル名は「AAAAA_YYYY.MM.DD.png」な感じです。ファイル自体、普通に開いて参照できていたので気にせずファイル名にピリオド使っていました(Windows環境だから問題なかったのかもしれませんが)。今は画像ファイルの命名規則を変えたので、対策とらずとも大丈夫です。理由がわかってすっきりしました。返答ありがとうございました。午後7時14分>>3数字で始まる拡張子は許可されているので、そのファイル名だと現状でも通ると思います。WindowsでもLinux等でも複数ピリオドは問題ありません。Apacheの仕様が厄介なだけで......。午後11時21分>>4確認したところ、全角数字でした。私の書き方が紛らわしかったです。午後11時31分>>5教えていただきありがとうございます。全角文字の拡張子ならば、無条件に許可する方向で検討しますね。午前9時26分ご無沙汰してます。公式ページの略歴とリリース情報のバージョンで更新漏れがあるようでしたので報告します。「次のページ」リンクをクリックして2ページ目に行き、「前のページ」リンクをクリックしても戻らない(2ページ目へのリンクになっている模様)。3ページ目以降は正常に動作します。午後0時39分>>9ご報告ありがとうございます。午後1時31分はじめまして。軽くて使いやすく助かっています。仕様だったら余計な話なのですがトップページ(だけ?)インフォメーションの見出しが消えています。午後8時12分>>11いくつかのテーマでインフォメーションの見出しは表示しなくなっています。以下のようなCSSをユーザーCSSあたりにかくと良いかと思います。午後7時24分>>12返信遅くてすいません!仕様なんですね。教えてくださってありがとうございます。つけてうまくいきました。