From e2bcb67d433bf2a9d8dd40f581edb32028418003 Mon Sep 17 00:00:00 2001 From: kl Date: Fri, 14 Aug 2026 14:28:41 +0800 Subject: [PATCH] chore(release): prepare v5.0.2 --- Dockerfile | 4 +- README.cn.md | 15 ++++++ README.md | 15 ++++++ pom.xml | 2 +- server/pom.xml | 2 +- server/src/main/resources/web/main/record.ftl | 47 +++++++++++++++++-- 6 files changed, 77 insertions(+), 8 deletions(-) diff --git a/Dockerfile b/Dockerfile index 3a434b70..165f8a02 100644 --- a/Dockerfile +++ b/Dockerfile @@ -1,4 +1,4 @@ FROM keking/kkfileview-base:5.0.0 ADD server/target/kkFileView-*.tar.gz /opt/ -ENV KKFILEVIEW_BIN_FOLDER=/opt/kkFileView-5.0.1/bin -ENTRYPOINT ["java","-Dfile.encoding=UTF-8","-Dspring.config.location=/opt/kkFileView-5.0.1/config/application.properties","-jar","/opt/kkFileView-5.0.1/bin/kkFileView-5.0.1.jar"] +ENV KKFILEVIEW_BIN_FOLDER=/opt/kkFileView-5.0.2/bin +ENTRYPOINT ["java","-Dfile.encoding=UTF-8","-Dspring.config.location=/opt/kkFileView-5.0.2/config/application.properties","-jar","/opt/kkFileView-5.0.2/bin/kkFileView-5.0.2.jar"] diff --git a/README.cn.md b/README.cn.md index 8f7d21e8..d2332a4e 100644 --- a/README.cn.md +++ b/README.cn.md @@ -149,6 +149,21 @@ pdf预览模式预览效果如下 ### 历史更新记录 +#### > 2026年08月14日，v5.0.2 补丁版本发布 ： + +#### 安全修复 +1. 将不可信 HTML 预览放入不具有同源权限的 iframe 沙箱，并默认禁用其中的 JavaScript，避免被预览文件在 kkFileView 应用源中执行脚本（GHSA-9wcf-jxxf-w2g2） +2. 默认禁用演示文件删除接口，将接口改为 POST，并要求显式配置密码后进行精确比较（GHSA-f3qx-xrwc-5428） + +#### 修复问题 +1. 在 PDF 转图服务启动时刷新 ImageIO 插件，使 JBIG2 等嵌套 JAR 图像读取器能够被发现，避免 PDF 转图片预览时部分图像丢失 + +#### 升级说明 +1. 建议所有 v5.0.1 及更早版本用户尽快升级到 v5.0.2 +2. 本版本继续要求 JDK 21 及以上，现有 v5.0.1 配置可直接沿用 +3. 文件删除功能现在默认禁用；如确需启用，请通过 `KK_DELETE_PASSWORD` 或外部 `delete.password` 设置独立强密码，并将 `/deleteFile` 调用改为 POST +4. `kk.scriptjs` 现在默认为 `false`；显式启用后，脚本仍只会在隔离的 iframe 沙箱内运行 + #### > 2026年07月13日，v5.0.1 补丁版本发布 ： #### 安全修复 diff --git a/README.md b/README.md index f4d93e23..1284f36d 100644 --- a/README.md +++ b/README.md @@ -65,6 +65,21 @@ URL：[https://file.kkview.cn](https://file.kkview.cn) ## Change History +### Version 5.0.2 (August 14, 2026) + +#### Security Fixes +1. Sandboxed untrusted HTML previews in an opaque-origin iframe and disabled embedded JavaScript by default, preventing previewed files from executing in the kkFileView application origin (GHSA-9wcf-jxxf-w2g2) +2. Disabled the demo file deletion endpoint by default, changed it to POST, and required an explicitly configured password with exact comparison (GHSA-f3qx-xrwc-5428) + +#### Fixes +1. Refreshed ImageIO plugins when PDF conversion starts so nested JAR providers such as the JBIG2 reader are discovered, preventing images from disappearing in PDF-to-image previews + +#### Upgrade Notes +1. All users running v5.0.1 or earlier are strongly encouraged to upgrade to v5.0.2 +2. JDK 21 or higher remains required, and existing v5.0.1 configuration can be reused +3. File deletion is now disabled unless `KK_DELETE_PASSWORD` or an external `delete.password` is set to an independent strong password; integrations must call `/deleteFile` with POST +4. `kk.scriptjs` now defaults to `false`; when explicitly enabled, scripts still run only inside the isolated iframe sandbox + ### Version 5.0.1 (July 13, 2026) #### Security Fixes diff --git a/pom.xml b/pom.xml index a33c3b7d..7c46e332 100644 --- a/pom.xml +++ b/pom.xml @@ -6,7 +6,7 @@ cn.keking kkFileView-parent - 5.0.1 + 5.0.2 diff --git a/server/pom.xml b/server/pom.xml index c60cb36d..0baafae8 100644 --- a/server/pom.xml +++ b/server/pom.xml @@ -6,7 +6,7 @@ kkFileView-parent cn.keking - 5.0.1 + 5.0.2 kkFileView diff --git a/server/src/main/resources/web/main/record.ftl b/server/src/main/resources/web/main/record.ftl index e1e9455f..149d7ded 100644 --- a/server/src/main/resources/web/main/record.ftl +++ b/server/src/main/resources/web/main/record.ftl @@ -41,10 +41,10 @@ 你可以先看最新版本的升级重点，再顺着时间轴继续了解历史版本细节。

- 最新版本 v5.0.1 - 发布日期 2026-07-13 + 最新版本 v5.0.2 + 发布日期 2026-08-14 JDK 21+ 强制要求 - 安全补丁 / PDF、Redis、XLSX 修复 + 安全补丁 / HTML、文件删除、PDF 转图修复
@@ -52,11 +52,50 @@
2026
+
+

v5.0.2

+
+ 2026-08-14 + 最新稳定版本 + 建议尽快升级 +
+
+
+

安全修复

+
    +
  • HTML 文件改在不具有同源权限的 iframe 沙箱中预览，并默认禁用 JavaScript。
    • +
  • 文件删除接口默认禁用，改用 POST，并要求显式配置密码后进行精确比较。
    • +
+
+
+

修复

+
    +
  • 刷新 ImageIO 插件，修复 PDF 转图片预览时 JBIG2 等图像读取器未被发现导致的图片丢失。
    • +
+
+
+

配置调整

+
    +
  • delete.password 默认改为 false。
    • +
  • kk.scriptjs 默认改为 false，启用后仍保持沙箱隔离。
    • +
+
+
+

升级重点

+
    +
  • 建议所有 v5.0.1 及更早版本用户尽快升级。
    • +
  • 继续要求 JDK 21 及以上，现有配置可直接沿用。
    • +
  • 如需删除功能，请配置独立强密码，并将调用方式改为 POST。
    • +
+
+
+
+

v5.0.1

2026-07-13 - 最新稳定版本 + 上一补丁版本 建议尽快升级