Movable Type 3.35 日本語版リリースと 3.34 日本語版との差分
Movable Type 3.35 日本語版がリリースされました。
本日より、Movable Type 3.35日本語版 (以下3.35-ja) の提供を開始いたします。 3.35-jaの主な修正点は、3.34以降に発見されたセキュリティ上の不具合への対策と、インストールの簡略化です。 既存のユーザーの皆さまは、アップグレード後に手作業が必要になります。詳細は下記をご参照ください。
同時に Movable Type Enterprise 1.53日本語版もリリースされています。
Movable Type Enterprise 1.53日本語版の提供を開始
１．Movable Type 3.35-ja の変更点
Movable Type 3.34-ja から Movable Type 3.35-ja の変更点は次の通りです。
- インストール作業の簡略化
- コメント・プレビューでクロスサイトスクリプティングを許す脆弱性の不具合修正
- convert-dbおよびmt-db2sql.cgiで文字化けする可能性の不具合修正
- MTDateタグでutc属性を利用すると夏時間の間に不正な日付が出力される不具合修正
- テンプレートの名前カラムのサイズを拡張（そういえばこれ不便でした）
２．アップグレード後の手修正
なお、今回のアップグレードでは手作業による修正が必要です。
今回のスクリプト実行を許す脆弱性の修正は、テンプレートに対して行われています。そのため、ソフトウェアをアップデートするだけでは、修正が適用されません。お客様の環境で、以下の手順でテンプレートを手動修正していただく必要があります。
詳細は元記事にもありますが、こちらでもざっくり紹介しておきます。
修正箇所は、コメント・プレビューテンプレートにあるコメント投稿フォーム部分の下記の input 要素の MTCommentPreview●●タグ（赤色）、
<input id="comment-author" name="author" size="30" value="<$MTCommentPreviewAuthor$>" />
<input id="comment-email" name="email" size="30" value="<$MTCommentPreviewEmail$>" />
<input id="comment-url" name="url" size="30" value="<$MTCommentPreviewURL$>" />に青色の encode_html 属性を追加します。
<input id="comment-author" name="author" size="30" value="<$MTCommentPreviewAuthor encode_html="1"$>" />
<input id="comment-email" name="email" size="30" value="<$MTCommentPreviewEmail encode_html="1"$>" />
<input id="comment-url" name="url" size="30" value="<$MTCommentPreviewURL encode_html="1"$>" />当サイトのテンプレートをご利用の場合、コメント・エラーテンプレートにも同様の修正を行ってください。
３．Movable Type 3.34 日本語版との差分
アップグレードで「全ファイル上書きは面倒」という方のための差分情報です。
Movable Type 3.34-ja と Movable Type 3.35-ja のファイルを比較したところ、129の差分ファイルと、4つの新規ファイルがありました（削除されたファイルは0）。差分ファイルについては前回同様、ほとんどバージョン管理システムに記録されるタイムスタンプ情報の変更のみでした。
ということで目視確認したところ、下記の差分24ファイル + 新規4ファイルを上書きアップロードすれば 3.35 へのアップグレードが可能と思われます（多分）。個人的には日本語版として利用するのであればローカライズ機能の多言語用ファイルと新規インストールを簡単に実行する Wizard 機能を除いた、青色のファイルのみでいいと思います（間違ってたらご指摘ください）。
変更分
default_templates/comment_preview_template.tmpl
index.html
lib/MT/App/Wizard.pm
lib/MT/App.pm
lib/MT/Bootstrap.pm
lib/MT/L10N/de.pm
lib/MT/L10N/es.pm
lib/MT/L10N/fr.pm
lib/MT/L10N/nl.pm
lib/MT/Template/ContextHandlers.pm
lib/MT/Template.pm
lib/MT.pm
mt-db2sql.cgi
mt-wizard.cgi
php/lib/MTViewer.php
php/lib/function.MTDate.php
php/mt.php
tmpl/wizard/complete.tmpl
tmpl/wizard/configure.tmpl
tmpl/wizard/mt-config.tmpl
tmpl/wizard/optional.tmpl
tmpl/wizard/packages.tmpl
tmpl/wizard/start.tmpl
tools/convert-db新規追加分
php/lib/l10n_de.php
php/lib/l10n_es.php
php/lib/l10n_fr.php
php/lib/l10n_nl.php上記の全ファイルを Movable Type 3.34-ja に上書きし、正常なアップグレードと全再構築およびテストページが表示されるところまでは確認しましたが、差分ファイルのみによるアップグレードはご自身の責任で行ってください。
