Drupal 6.2, un aggiornamento di sicurezza

àˆ stato rilasciato da qualche giorno Drupal 6.2, l’ultimo aggiornamento del branch 6 di Drupal. Esso corregge un problema di sicurezza e pone rimedio a dei bug che sono stati riscontrati, quindi è fortemente consigliato l’upgrade.

Non sono state introdotte nuove feature: come riporta il sito ufficiale, le nuove funzionalità  che vengono implementate saranno introdotte soltanto nella futura versione 7.0.

Meno novità  significa anche meno bug, e questa è una prerogativa del team di sviluppo: meglio perfezionare le novità  introdotte nella versione 6.0 e correggere i problemi di sicurezza piuttosto che introdurre nuove funzionalità .

Si vedano le Release Notes per un dettagliato rapporto sui bug corretti.

Per quanto riguarda il problema di sicurezza, è stato portato alla luce nel Security Advisory SA-2008-026 di ieri, e riguarda le versioni di Drupal 6.0 e 6.1.

Infatti l’arrivo della versione 6.0 ha introdotto un nuovo sistema per la gestione dei menu, ed in particolare è stata modificata la gestione dei permessi di accesso. Questo sistema, come recita il Security Advisory, avrebbe portato a dei problemi causati da un uso improprio delle feature, dovuto a sviluppatori che non hanno ben compreso come utilizzarlo.

Sembra infatti che con le versioni 6.0 e 6.1 di Drupal

1. ogni utente può modificare le pagine del profilo di altri utenti;
2. gli utenti con permesso di visualizzare le pagine di amministrazione sono in grado di modificare il tipo di contenuto;
3. le pagine blog e tracker vengono visualizzate anche agli utenti che non hanno il permesso “accesso al contenuto del sito”.

Per questo è stato introdotto un sistema di gestione più sicuro di queste funzioni, attraverso una modifica delle API, e sono stati corretti alcuni problemi di gestione dei menu nel core di Drupal.

La modifica delle API porta gli sviluppatori a dover modificare i moduli che fanno uso delle funzioni corrette.

Per informazioni su come eseguire l’upgrade è necessario seguire le istruzioni riportate sul sito ufficiale.