Connect with us

Entwicklung & Code

Kanboard: Sicherheitslücke ermöglicht Kontoübernahme | heise online


In der quelloffenen Kanban-Software Kanboard haben die Entwickler mit einer aktualisierten Software-Version eine hochriskante Schwachstelle ausgebessert. Angreifer können dadurch Kanboard-Konten übernehmen.

Die Kanboard-Entwickler erörtern die Sicherheitslücke in einer Sicherheitsmitteilung im Github-Repository. „Kanboard ermöglicht den Versand von E-Mails zum Zurücksetzen von Passwörtern mit URLs, die aus dem nicht überprüften Host-Header stammen, wenn die Konfiguration ‚application_url‘ nicht gesetzt ist – was die Standardeinstellung von Kanboard ist. Angreifer können einen bösartigen Link zum Passwortrücksetzen erstellen, der das Token an eine Angreifer-kontrollierte Domain weiterleitet. Wenn Opfer – einschließlich Administratoren – auf den bösartig manipulierten Link klicken, können Angreifer das Konto übernehmen. Dies betrifft alle Benutzer, die ein Passwort-Reset anstoßen, während ‚application_url‘ nicht gesetzt ist“, schreiben sie dort (CVE-2025-52560 / EUVD-2025-18976, CVSS 8.1, Risiko „hoch„).

Offenbar ist zudem etwas Social Engineering nötig, um potenzielle Opfer zum Anfordern eines Passwort-Resets zu bewegen. Der Fehler betrifft Kanboard vor der aktuellen Fassung 1.2.46. Am Sonntag haben die Entwickler das Update herausgegeben. Die Release-Notes zu Kanboard 1.2.46 nennen neben dieser Sicherheitskorrektur weitere Fehlerbehebungen und teils neue Funktionen. Ein wichtiger Hinweis ist etwa, dass PHP 7.4 nicht mehr unterstützt wird, Kanboard 1.2.46 setzt mindestens PHP 8.1 voraus; das Docker-Image nutzt standardmäßig PHP 8.4.

Admins sollten das Update zeitnah installieren, da die Risikoeinstufung „hoch“ lautet. Die Kanboard-Entwickler stellen aktualisierte Quellen und auch Docker-Container bereit, sie verlinken sie in den Release-Notes und erörtern das Docker-Update.


(dmk)



Source link

Weiterlesen
Kommentar schreiben

Leave a Reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Entwicklung & Code

Software Testing: Cypress, Playwright oder WebdriverIO


Richard Seidl legt den Fokus für diese Folge seines Podcasts Software Testing auf die Entwicklungen in der Testautomatisierung, insbesondere im Hinblick auf Tools wie Cypress und Playwright. Zu Gast ist Dehla Sokenou, die in früheren Folgen bereits Erfahrungen mit Cypress geteilt hat. Sie betrachtet die Veränderungen in der Testlandschaft und diskutiert, ob Cypress nach wie vor die beste Wahl ist oder ob Playwright inzwischen überlegen ist.

Die beiden beleuchten die Vorteile von Playwright und gehen auf die Herausforderungen und Chancen ein, die mit der Integration neuer Technologien in bestehende Projekte verbunden sind.

Bei diesem Podcast dreht sich alles um Softwarequalität: Ob Testautomatisierung, Qualität in agilen Projekten, Testdaten oder Testteams – Richard Seidl und seine Gäste schauen sich Dinge an, die mehr Qualität in die Softwareentwicklung bringen.

Die aktuelle Ausgabe ist auch auf Richard Seidls Blog verfügbar: „Cypress, Playwright oder WebdriverIO – Dehla Sokenou“ und steht auf YouTube bereit.


(mdo)



Source link

Weiterlesen

Entwicklung & Code

GitLab 18.1 erklärt Duo Code Review für produktionsreif


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

GitLab 18.1 steht mit über 100 Neuerungen bereit. Die Softwareentwicklungsplattform bietet nun unter anderem eine virtuelle Maven-Registry, macht den KI-Dienst Duo Code Review allgemein verfügbar und erkennt kompromittierte Passwörter.

Um die Sicherheit zu erhöhen, wendet GitLab.com in der aktuellen Version einen Security-Check auf Account-Anmeldedaten an, wenn sich Nutzerinnen und Nutzer einloggen. Sollte das verwendete Passwort in einem bekannten Leak enthalten sein, zeigt GitLab der betroffenen Person ein Banner an und sendet ihr eine E-Mail-Benachrichtigung. Dabei enthalten das Banner und die E-Mail Anweisungen, wie sich die Credentials aktualisieren lassen.


GitLab 18.1 zeigt ein Banner an, das zum unverzüglichen Ändern des Passworts aufruft, wenn dieses potenziell kompromittiert ist.

GitLab 18.1 zeigt ein Banner an, das zum unverzüglichen Ändern des Passworts aufruft, wenn dieses potenziell kompromittiert ist.

GitLab 18.1 zeigt ein Banner an, das zum unverzüglichen Ändern des Passworts aufruft, wenn dieses potenziell kompromittiert ist.

(Bild: GitLab)

Dieses Feature ist nur in der SaaS-Variante GitLab.com verfügbar, nicht in selbstverwalteten Editionen. Auch bezieht es sich ausschließlich auf native GitLab-Usernamen und -Passwörter; SSO-Anmeldedaten werden nicht geprüft.

Allen zahlenden GitLab-Usern steht Duo Code Review nun nach einer Beta-Phase allgemein zur Verfügung und ist bereit für den Einsatz in der Produktion. Das KI-gestützte Feature bietet Feedback zu Merge Requests und soll dabei helfen, potenzielle Bugs, Sicherheitslücken und Probleme bezüglich der Codequalität festzustellen – noch bevor menschliche Reviewer sich dem Code widmen.

Duo Code Review nutzt das große Sprachmodell Anthropic Claude 3.7 Sonnet. An dieses werden laut der Dokumentation folgende Daten gesendet:

  • Inhalte der geänderten Dateien
  • Dateinamen
  • Titel der Merge Requests
  • Beschreibung der Merge Requests

Zu den weiteren Updates in GitLab 18.1 zählt die Maven Virtual Registry. Diese befindet sich im Beta-Status und ist für Premium- und Ultimate-Kunden sowohl in SaaS- als auch in selbstverwalteten GitLab-Instanzen verfügbar. Sie soll das Dependency Management für das Build-Tool Maven, das für Java-Projekte genutzt wird, vereinfachen.

Weitere Informationen zu den Highlights in GitLab 18.1 hält der GitLab-Blog bereit.


(mai)



Source link

Weiterlesen

Entwicklung & Code

Die Produktwerker: Anwendungsnahe Weiterbildung für Product Owner


Die Weiterbildung als Product Owner ist mehr als das nächste Zertifikat im Lebenslauf. In dieser Podcastfolge sprechen Tim Klein und Sohrab Salimi darüber, was gute Weiterbildung heute ausmacht – und warum viele Angebote an der Realität der Produktarbeit vorbeigehen. Sohrab Salimi bringt dabei nicht nur seine langjährige Erfahrung als Trainer mit, sondern auch den Mut zur Veränderung: Nach zehn Jahren als zertifizierter Trainer bei der Scrum Alliance hat er sich entschieden, neue Wege zu gehen. Mit der Agile Academy hat er ein offenes Weiterbildungsmodell mitentwickelt, das praxisnäher, systemischer und flexibler ist als vieles, was es bisher gab.

Im Gespräch geht es um den Unterschied zwischen theoretischem und anwendungsnahem bzw. erfahrungsbasiertem Lernen. Viele Product Owner haben ein Foundation-Training besucht – ob als CSPO, PSPO 1 oder Ähnliches. Doch was kommt danach? Genau da setzt anwendungsnahe Weiterbildung an: Lernen durch echte Beispiele, durch Austausch mit anderen Praktikerinnen und Praktikern sowie durch das Reflektieren eigener Herausforderungen. Sohrab Salimi schildert, wie wichtig es ist, dass Trainerinnen und Trainer nicht nur Inhalte vermitteln, sondern auch Erfahrungen aus der eigenen Produktpraxis teilen. Wer selbst Produktverantwortung erlebt hat, stellt andere Fragen – und gibt Antworten, die in der Realität Bestand haben.

Gemeinsam mit einem Netzwerk aus erfahrenen Coaches, Trainerinnen und Trainern sowie Praktikern entwickelt Sohrab Salimi mit der Agile Academy neue Lernpfade für Product Owner – von den Grundlagen bis hin zum anspruchsvollen Sparring auf Augenhöhe. Tim Klein bringt die Perspektive der Produktwerker ein, die diesen Weg aktiv mitgehen werden – als Teil der Agile Academy, aber auch aus Überzeugung, dass Weiterbildung immer dann wirksam wird, wenn sie anschlussfähig an den Alltag ist. Mit Formaten, die sich an dem orientieren, was Produktmenschen wirklich brauchen: Austausch, Reflexion, Anwendung.

Deswegen haben sich alle drei Produktwerker – Oliver Winter, Dominique Winter und Tim Klein – entschieden, als Botschafter (Agile Academy Amabassador) bei diesem neuen Weiterbildungsnetzwerk mitzuwirken. Oliver Winter wird sogar der Track Owner für den Lernpfad „Product Owner“ und ist damit die zentrale Stelle, die über die Lernziele aller Product-Owner-Trainings der Agile Academy entscheidet. Dominique Winter übernimmt als Track Owner den Lernpfad „Agile UX“. Die Produktwerker werden sich somit prägend und mit viel Gestaltungswillen in dieses neue Weiterbildungskonstrukt einbringen. Teilnehmende können davon ausgehen, dass man die Handschrift der Produktwerker in diesen Tracks erkennen wird. Der Product-Owner-Track dürfte zum Beispiel von einem guten Schwung Produktmanagement-Themen in den Lernzielen profitieren.

Jeder neue Lernpfad (Track) unterscheidet zwischen Verstehen (Understand), Anwenden (Apply) und Vermitteln (Teach). Das eröffnet neue Möglichkeiten – für erfahrene Product Owner, für Neulinge mit echtem Lernwillen und für Organisationen, die Weiterbildung nicht nur als Pflicht, sondern als Chance sehen. Zugleich ist das Modell offen für verschiedene Vorerfahrungen: Wer bisher über Scrum.org oder Scrum Alliance gelernt hat, kann problemlos in die weiterführenden Ausbildungsschritte einsteigen. Und wer sich lieber im eigenen Tempo weiterbildet, findet Self-paced-Kurse. Der deutschsprachige Product Owner Online Course lässt sich über die Agile-Academy-Website buchen.

Die bisherigen Episoden mit Sohrab Salimi:

Wer mit Sohrab Salimi direkt in Kontakt treten möchte, kontaktiert und folgt ihm am besten über sein LinkedIn-Profil. Weiterführende Infos zum neuen Zertifizierungsansatz der Agile Academy gibt es auf deren Website.

Auch Oliver Winter bietet bereits Zertifizierungstrainings an (Level 1 und Level 2, also der weiterführende Lernschritt, wenn Teilnehmende die Foundation wie CSPO oder PSPO schon besitzen).

Die aktuelle Ausgabe des Podcasts steht auch im Blog der Produktwerker bereit: „Anwendungsnahe Weiterbildung – für mehr Erfolg als Product Owner„.


Product Owner Days, Konferenz in Köln, 2. und 3. April 2025

Product Owner Days, Konferenz in Köln, 2. und 3. April 2025

(Bild: deagreez/123rf.com)

So geht Produktmanagement: Die Online-Konferenz Product Owner Day von dpunkt.verlag und iX geht in die achte Runde. Am 13. November 2025 können Product Owner, Produktmanagerinnen und Service Request Manager dort ihren Methodenkoffer erweitern, sich vernetzen und von den Good Practices anderer Unternehmen inspirieren lassen.

Vergünstigte Blind-Bird-Tickets sind bis zur Programmveröffentlichung erhältlich. In der Rückschau finden Interessierte das Programm des Vorjahres.


(mai)



Source link

Weiterlesen

Beliebt