Redmine 7.0.3, 6.1.6, 6.0.12 リリース
2026年11月1日（中央ヨーロッパ時間）、Redmine 7.0.3、6.1.6、6.0.12がリリースされました。複数のセキュリティに関する修正が含まれています。
セキュリティ情報
リリースされた3つのバージョンに共通するセキュリティの修正箇所は以下の通りです。
- Defect #44657: ReDoS in wiki macro argument parsing
Wikiマクロの引数の解析でReDoS（正規表現によるサービス拒否）が発生する問題 - Defect #44682: Reflected XSS in attachments#edit_all (unvalidated back_url)
添付ファイルの一括編集処理（attachments#edit_all）で、back_urlの検証不足により反射型XSSが発生する問題 - Defect #44683: validate_back_url accepts URLs that browsers resolve to another host
validate_back_urlが、ブラウザーでは別のホストへのURLとして解釈されるURLを受け入れる問題
7.0.3と6.1.6 の2つのバージョンに共通するセキュリティの修正箇所は以下の通りです。
- Defect #44625: OAuth token scope is ignored in Project.allowed_to_condition
Project.allowed_to_conditionでOAuthトークンのスコープが無視される問題 - Defect #44644: OAuth token scopes are bypassed when creating projects
プロジェクトの作成時にOAuthトークンのスコープによる制限を回避できる問題
6.0.12 のセキュリティの修正箇所は以下の通りです。
- Defect #44467: Private/invisible issue subjects leaked via REST API
include=children
REST APIのinclude=childrenにより、非公開または閲覧できないチケットの件名が漏洩する問題 - Defect #44468: Private project names + role assignments leaked via
GET /groups/<id>.json?include=memberships
GET /groups/<id>.json?include=membershipsにより、非公開プロジェクトの名前とロール割り当てが漏洩する問題
変更・修正一覧
各リリースのCHANGELOG（修正・変更点の一覧）の日本語訳です。チケット番号はRedmineオフィシャルサイト上のチケットにリンクしています。
7.0.3, 6.1.6, 6.0.12 共通の変更・修正内容 (3件)
Security(セキュリティ)
- Defect #44657: ReDoS in wiki macro argument parsing
Wikiマクロの引数の解析でReDoS（正規表現によるサービス拒否）が発生する問題 - Defect #44682: Reflected XSS in attachments#edit_all (unvalidated back_url)
添付ファイルの一括編集処理（attachments#edit_all）で、back_urlの検証不足により反射型XSSが発生する問題 - Defect #44683: validate_back_url accepts URLs that browsers resolve to another host
validate_back_urlが、ブラウザーでは別のホストへのURLとして解釈されるURLを受け入れる問題
7.0.3, 6.1.6 共通の変更・修正内容 (21件)
Accounts / authentication(アカウント / 認証)
- Defect #44654: OAuth API request returns 500 Internal Server Error for an inactive user
無効なユーザーによるOAuth APIリクエストで500 Internal Server Errorが発生する問題 - Defect #44673: "Lost password" function allows to set the same password again even if it was expired
「パスワードの再発行」で、有効期限が切れたパスワードと同じパスワードを再設定できる問題 - Feature #44578: Invalidate sessions and autologin tokens when an email address is changed or deleted
メールアドレスの変更または削除時にセッションと自動ログイントークンを無効化
Calendar(カレンダー)
- Defect #44643: Versions are shown twice (start and due date) without any visual distinction in the calendar
カレンダーにバージョンの開始日と期日が見た目で区別できない状態で表示される問題
Code cleanup/refactoring(コード整理 / リファクタリング)
- Patch #44653: Remove leftover development hosts from the OAuth redirect URI HTTPS exemption
OAuthリダイレクトURIのHTTPS要件の例外に残っていた開発用ホストを削除 - Patch #44690: Add public/assets to svn:ignore
public/assetsをsvn:ignoreに追加
Email notifications(メール通知)
- Defect #44619: "File added" notification fails for Japanese users when exactly two files are added
ファイルをちょうど2件追加したときに、日本語を使用するユーザーへの「ファイルが追加されました」通知が失敗する問題 - Defect #44650: NoMethodError in issue update notification when bulk deleting a parent issue and its subtask
親チケットとその子チケットを一括削除すると、チケット更新通知でNoMethodErrorが発生する問題
Gantt(ガントチャート)
- Defect #44694: Missing expand/collapse icons for Gantt projects with only subprojects
子プロジェクトのみを持つプロジェクトで、ガントチャートの展開・折りたたみアイコンが表示されない問題
Issues(チケット)
- Defect #44579: Attachments added in a single update may be listed in the wrong order in the issue history on PostgreSQL
PostgreSQLで、1回の更新で追加した添付ファイルがチケット履歴に誤った順序で表示されることがある問題
News(ニュース)
- Defect #44361: Preview returns a 404 error on the cross-project news form
プロジェクト横断のニュース作成フォームでプレビュー時に404エラーが発生する問題
Performance(パフォーマンス)
- Defect #44372: Chrome freezes for several minutes when opening pages with thousands of sortable items such as the custom fields list
カスタムフィールド一覧など、並べ替え可能な項目が数千件あるページを開くとChromeが数分間フリーズする問題
Security(セキュリティ)
- Defect #44625: OAuth token scope is ignored in Project.allowed_to_condition
Project.allowed_to_conditionでOAuthトークンのスコープが無視される問題 - Defect #44644: OAuth token scopes are bypassed when creating projects
プロジェクトの作成時にOAuthトークンのスコープによる制限を回避できる問題
SCM(ソースコード管理)
- Defect #44231: Mercurial repository support is broken with Mercurial 7.2 or later
Mercurial 7.2以降でMercurialリポジトリのサポートが機能しない問題
Themes(テーマ)
- Defect #44240: Automatic asset precompilation (redmine_detect_update) fails to detect new assets whose files have older mtimes than the existing manifest
アセットの自動プリコンパイル（redmine_detect_update）で、既存のマニフェストよりファイルの更新日時が古い新規アセットを検出できない問題
Time tracking(時間管理)
- Defect #44610: Spent time custom field value is deleted when a time entry is edited by a user who cannot see the field
作業時間のカスタムフィールドを閲覧できないユーザーが作業時間を編集すると、そのフィールドの値が削除される問題
Translations(翻訳)
- Patch #44573: Swedish translation update for 6.1-stable
6.1-stable向けのスウェーデン語翻訳を更新 - Patch #44606: Italian translation update for 6.1-stable
6.1-stable向けのイタリア語翻訳を更新 - Patch #44677: Extra space before colon in en.yml key setting_password_required_char_classes
en.ymlのsetting_password_required_char_classesにコロンの前の余分な空白がある問題
UI(ユーザーインターフェイス)
- Defect #44645: Gravatar images are rendered without width and height attributes
Gravatar画像がwidth属性とheight属性なしで描画される問題
7.0.3固有の変更・修正内容 (10件)
Attachments(添付ファイル)
- Defect #44620: Partially written thumbnails may be served during generation or after a failure
サムネイルの生成中または生成失敗後に、書き込み途中のサムネイルが配信されることがある問題 - Defect #44624: Ghostscript process is left running when PDF thumbnail generation times out (missing merge of #44378 in 7.0.2)
PDFサムネイル生成がタイムアウトしたときにGhostscriptプロセスが残り続ける問題（7.0.2での#44378のマージ漏れ）
Code cleanup/refactoring(コード整理 / リファクタリング)
- Patch #44597: Avoid 60-second connection timeouts in webhook executor tests on macOS
macOSでWebhook実行処理のテスト時に60秒の接続タイムアウトが発生しないよう改善
Gantt(ガントチャート)
- Defect #44611: Gantt column resize handles are initially enabled in mobile view
モバイル表示でガントチャートの列幅変更用ハンドルが初期状態で有効になる問題
Issues(チケット)
- Defect #44680: Assignee is not added as a watcher when creating an issue with an assignee who has auto-watch for assigned issues enabled
担当チケットのオートウォッチを有効にしているユーザーを担当者に指定してチケットを作成しても、担当者がウォッチャーに追加されない問題
Translations(翻訳)
- Patch #44563: Japanese translation update for webhook_secret_keep_info and webhook_disabled_info_html
webhook_secret_keep_infoとwebhook_disabled_info_htmlの日本語翻訳を更新 - Patch #44564: Bulgarian translation update for webhook_secret_keep_info and webhook_disabled_info_html
webhook_secret_keep_infoとwebhook_disabled_info_htmlのブルガリア語翻訳を更新 - Patch #44574: Swedish translation update for 7.0-stable
7.0-stable向けのスウェーデン語翻訳を更新 - Patch #44607: Italian translation update for 7.0-stable
7.0-stable向けのイタリア語翻訳を更新
Wiki
- Defect #44623: Wiki include() macro adds faulty "Edit this section"-links
Wikiのinclude()マクロが誤った「このセクションを編集」リンクを追加する問題
6.0.12固有の変更・修正内容 (2件)
Security(セキュリティ)
- Defect #44467: Private/invisible issue subjects leaked via REST API
include=children
REST APIのinclude=childrenにより、非公開または閲覧できないチケットの件名が漏洩する問題 - Defect #44468: Private project names + role assignments leaked via
GET /groups/<id>.json?include=memberships
GET /groups/<id>.json?include=membershipsにより、非公開プロジェクトの名前とロール割り当てが漏洩する問題
詳細はRedmine公式サイトのCHANGELOGをご覧ください。