extranet 26.300.0 Рутинное

Extranet 26.300.0: редирект экстранета пропускает /folder/ и /html/

2 мин чтения
Узнавайте о ломающих изменениях Битрикса раньше, чем они доедут до прода: свежие разборы — в канале @bxmax_updates

Extranet 26.300.0 вышел в коробку 21 сентября 2026 года (по официальному каналу «Битрикс24 changelog») и правит только редирект экстранет-пользователей. CExtranet::ExtranetRedirect() больше не перекидывает на экстранет-сайт авторизованного экстранет-пользователя с адресов интранет-сайта, которые начинаются с /folder/ и /html/. Речь о пользователе, который не админ и не интранет-пользователь. В списке исключений уже стояли восемь остальных префиксов enum единых ссылок Диска Bitrix\Disk\Public\Service\UnifiedLink\UnifiedLinkPrefix: /picture/, /media/, /doc/, /sheet/, /pres/, /audio/, /board/ и /file/. Вариант Html = '/html/' добавлен туда в disk 26.1100.0, который вышел в коробку 2 сентября 2026 года, так что экстранет добавил /html/ в исключения через 19 дней после Диска. Для /folder/ варианта в enum нет даже в disk 26.1150.0, последней версии в эталоне, а строка "/folder/" в PHP-коде модулей эталона есть только в extranet.php. Приватный calculateExtranetRedirect() теперь дописывает к адресу редиректа IM_SETTINGS через Uri::addParams() вместо устаревшего CHTTP::urlAddParams(), а значение приходит из GetCurPageParam() уже закодированным и режется explode('=') без urldecode. Спецсимволы в IM_SETTINGS поэтому окажутся в адресе редиректа закодированными дважды, раньше они попадали туда закодированными один раз.

Новая версия вышла — разбор уже в Telegram

В канале @bxmax_updates публикуем каждый свежий разбор: что сломается, что устарело и что появилось в API. Узнаете до того, как обновите прод.

Подписаться

Читайте дальше

timeman 26.350.0 Заметное Свежее

Timeman 26.350.0: план дня пишется в нужную запись, блоки БП возвращают Saved

В timeman 26.350.0 для коробочного Битрикс24 блоки «Сохранить план на день» и «Сохранить отчёт сотрудника за день» из нового конструктора бизнес-процессов научились писать в заданную запись рабочего дня, оставлять Markdown как есть и сообщать, сохранилось ли (у отчёта новые настройки в конструкторе,…

2 мин
rpa 26.300.0 Безопасность Свежее

Rpa 26.300.0: права на перемещение элементов наконец проверяются

До RPA 26.300.0 `UserPermissions::canMoveItem()` сразу отвечал `true`, и любой сотрудник, кроме экстранет-пользователей, мог перетащить любой элемент на любую стадию, а права стадии на перемещение не учитывались. Теперь права проверяются, а тем, кто может только смотреть, `rpa.item.get` и `rpa.item….

3 мин
booking 26.500.100 Заметное Свежее

Booking 26.500.100: addList отвечает ошибкой, когда не создал ни одной брони, а четыре колонки дат стали DATETIME

В коробочный Битрикс24 пришёл booking 26.500.100 с двумя правками. AJAX-экшен `booking.api_v1.Booking.addList` теперь возвращает ошибку, если не создал ни одной брони. Апдейтер переводит четыре колонки дат с `TIMESTAMP` на `DATETIME`, и в `install/migrations/tables.php` они объявлены через `datetime…

3 мин
socialnetwork 26.200.0 Безопасность Свежее

Socialnetwork 26.200.0: XSS в заявках и списке участников, копирование проекта по праву редактирования и курсор в log.blogpost.get

Socialnetwork 26.200.0 закрывает XSS в списке участников проекта и в заявках в группы, подмену ссылок через название группы и утечку задач в контекст AI. Копировать проект теперь можно только с правом на редактирование. Администраторам, у которых стояли 26.100.0 или 26.150.0, стоит проверить права с…

2 мин
Мы используем файлы cookie для улучшения работы сайта. Продолжая использовать сайт, вы соглашаетесь с нашей политикой конфиденциальности.
AI Домовой

AI Домовой История

на связи

пишет…
Нет истории чатов
AI Домовой

Нужна авторизация

Войдите, чтобы задавать вопросы AI Домовому.

Войти