Redmine 7.0.1, 6.1.4, 6.0.11 リリース

黒谷 明大（ファーエンドテクノロジー株式会社）
作成日

2026年8月26日（中央ヨーロッパ時間）、Redmine 7.0.1、6.1.4、6.0.11がリリースされました。複数のセキュリティに関する修正が含まれています。

セキュリティ情報

リリースされた3つのバージョンに共通するセキュリティの修正箇所は以下の通りです。

  • Defect #44249: API requests can affect a user's session and circumvent security policies
    APIリクエストがユーザーのセッションに影響を与え、セキュリティポリシーを回避できる問題
  • Defect #44308: Stored XSS in Redmine Textile Formatter via < notextile > Tag-Restoration ("Frankenstein tag")
    Textileフォーマッタにおける蓄積型XSSの脆弱性
  • Defect #44309: Nested issue-relations endpoints bypass source issue visibility
    ネストしたチケット関連エンドポイントが、元チケットの閲覧権限を回避できる問題
  • Defect #44310: Child project inherit_members updates bypass member-management authorization
    子プロジェクトのメンバー継承更新が、メンバー管理の認可を回避できる問題
  • Patch #44371: Filter key parameter from logging
    ログ出力からkeyパラメータを除外

変更・修正一覧

各リリースのCHANGELOG（修正・変更点の一覧）の日本語訳です。チケット番号はRedmineオフィシャルサイト上のチケットにリンクしています。

7.0.1, 6.1.4, 6.0.11 共通の変更・修正内容 (12件)

Accounts / authentication(アカウント / 認証)

  • Defect #44360: Lost password page is unreachable by admins when two-factor authentication setup is required
    二要素認証の設定が必須の場合に管理者がパスワード紛失ページへアクセスできない問題
  • Defect #44245: Password reset page exposes whether an email address is registered through different redirect behavior
    リダイレクト動作の違いにより、パスワードリセットページでメールアドレスの登録有無が判別できる問題

Code cleanup/refactoring(コード整理 / リファクタリング)

  • Patch #44330: Convert CRLF line endings to LF in three test fixture files
    3つのテスト用fixtureファイルの改行コードをCRLFからLFに変換

Email notifications(メール通知)

  • Defect #44220: Backport password reset security notification does not include IP address
    パスワードリセットのセキュリティ通知にIPアドレスが含まれない問題

Permissions and roles(権限とロール)

  • Patch #44328: Reading issue categories should be granted by view_issues, not manage_categories
    チケットカテゴリの閲覧権限を manage_categoriesではなく view_issues で付与

SCM(ソースコード管理)

  • Defect #44354: GitAdapterTest#test_diff_path_invalid fails with Git 2.55.0
    Git 2.55.0でGitAdapterTestが失敗する問題

Security(セキュリティ)

  • Defect #44249: API requests can affect a user's session and circumvent security policies
    APIリクエストがユーザーのセッションに影響を与え、セキュリティポリシーを回避できる問題
  • Defect #44308: Stored XSS in Redmine Textile Formatter via < notextile > Tag-Restoration ("Frankenstein tag")
    Textileフォーマッタにおける蓄積型XSSの脆弱性
  • Defect #44309: Nested issue-relations endpoints bypass source issue visibility
    ネストしたチケット関連エンドポイントが元チケットの閲覧権限を回避できる問題
  • Defect #44310: Child project inherit_members updates bypass member-management authorization
    子プロジェクトのメンバー継承更新がメンバー管理の認可を回避できる問題
  • Patch #44371: Filter key parameter from logging
    ログ出力からkeyパラメータを除外

Text formatting(テキスト書式)

  • Defect #13723: Collapse doesn't work with section edit link
    セクション編集リンクで折りたたみが動作しない問題

7.0.1, 6.1.4 共通の変更・修正内容 (8件)

Accounts / authentication(アカウント / 認証)

  • Defect #44343: Deleting a user who has authorized an OAuth2 application fails with ActiveRecord::InvalidForeignKey
    OAuth2アプリケーションを認証したユーザーを削除できない問題

Administration(管理)

  • Defect #44273: Applications item is not highlighted in the administration menu
    管理画面で「アプリケーション」が選択状態にならない問題

Attachments(添付ファイル)

  • Defect #44216: Backport uploading files with excessively long extensions may fail
    拡張子が非常に長いファイルをアップロードできない問題

Documentation(ドキュメント)

  • Patch #44232: Document Ghostscript as an optional dependency in doc/INSTALL
    doc/INSTALLにGhostscriptをオプションの依存ソフトウェアとして記載

Issues(チケット)

  • Defect #44258: Deleting an issue journal (note) shifts #note-N anchors of later journals, breaking existing links
    チケットの注記を削除すると、後続の注記へのアンカーがずれる問題

SCM(ソースコード管理)

  • Defect #44223: Setup Subversion and Mercurial on GitHub Actions
    GitHub ActionsでSubversionとMercurialをセットアップ

Translations(翻訳)

  • Defect #44291: Fix typos and inconsistent "e-mail" spelling in Czech translation
    チェコ語翻訳の誤字と「e-mail」の表記ゆれを修正

UI(ユーザーインターフェイス)

  • Defect #44221: "Selected Columns" checkbox does not enable or disable the column lists on the new Gantt query form
    新しいガントチャートのクエリフォームで「選択された列」チェックボックスが列一覧を有効・無効化しない問題

6.1.4, 6.0.11 共通の変更・修正内容 (1件)

Rails support(Railsサポート)

  • Patch #44304: Update Rails to 7.2.3.2
    Railsを7.2.3.2に更新

7.0.1のみの変更・修正内容 (21件)

Accounts / authentication(アカウント / 認証)

  • Patch #44368: Revert removal of user scope in 2FA backup code lookup
    二要素認証のバックアップコード検索でユーザースコープの削除を取り消し

Administration(管理)

  • Defect #44289: No status icon is displayed after checking for plugin updates on the Plugins page
    プラグイン更新確認後にステータスアイコンが表示されない問題
  • Feature #44268: Prevent browsers from autofilling the administrator's own password into the user account form
    ユーザー編集画面で管理者自身のパスワードがブラウザに自動入力されないよう改善

Attachments(添付ファイル)

  • Defect #44225: Add and configure pandoc on GitHub Actions
    GitHub Actionsにpandocを追加して設定
  • Defect #44228: Uploading an attachment with a NUL byte in the filename causes an Internal Server Error
    ファイル名にNULLバイトを含む添付ファイルのアップロード時に内部エラーが発生する問題
  • Defect #44335: PDF preview of .ai attachments triggers an automatic download
    AIファイルのPDFプレビューで自動ダウンロードが発生する問題

Code cleanup/refactoring(コード整理 / リファクタリング)

  • Defect #44243: Fix RuboCop Style/ArrayIntersect offenses
    RuboCopのStyle/ArrayIntersect違反を修正
  • Defect #44321: Random test failure in OauthProviderSystemTest due to incomplete sign out
    サインアウトが不完全なためOauthProviderSystemTestがランダムに失敗する問題
  • Patch #44259: New context menu controller tests don't run with standard rake tasks
    新しいコンテキストメニューコントローラのテストが標準のrakeタスクで実行されない問題を修正
  • Patch #44265: WebhookTest occasionally hangs
    WebhookTestがまれにハングする問題を修正

Gantt(ガントチャート)

  • Defect #44234: Gantt issue relation lines break when collapsing objects
    ガントチャートで折りたたみ時にチケット間の関連線が崩れる問題

Performance(パフォーマンス)

  • Defect #44348: Formatting a text is much slower in 7.0.0 when its container has many attachments
    添付ファイルが多い環境でテキストの書式設定が遅くなる問題

Rails support(Railsサポート)

  • Patch #44303: Update Rails to 8.1.3.1
    Railsを8.1.3.1に更新

REST API(REST API)

  • Feature #44353: Add project to wiki page list API response
    Wikiページ一覧APIのレスポンスにプロジェクト情報を追加

Third-party libraries(サードパーティライブラリ)

  • Defect #44294: Charts are broken: empty app/assets/javascripts/chart.min.js shadows vendor/javascript/chart.min.js
    空のchart.min.jsがベンダー版を隠し、チャートが壊れる問題

Translations(翻訳)

  • Defect #44277: Translation missing: text_users_remove_from_group_confirmation
    text_users_remove_from_group_confirmation の翻訳がない問題
  • Patch #44323: French translation update for 7.0-stable
    7.0-stableのフランス語翻訳を更新

UI(ユーザーインターフェイス)

  • Defect #44318: Tab bar wraps to a semi-visible second row when the tabs are wider than 2000px
    タブの幅が2000pxを超えるとタブバーが一部表示された2行目に折り返される問題
  • Defect #44351: Fix top menu position in Classic theme
    Classicテーマでトップメニューの位置を修正
  • Patch #44293: Add a caret to the account menu to indicate it opens a dropdown
    アカウントメニューにドロップダウンを示す矢印を追加
  • Patch #44341: Increase top menu hover highlight by increasing the padding of the elements
    トップメニューのホバー表示を改善

詳細はRedmine公式サイトのCHANGELOGをご覧ください。

Redmine新バージョンのリリースをメールでお知らせします。ぜひRedmine Newsにご登録ください。