Contao 2.9.1 verfügbar

[contao.org]

Contao Version 2.9.1 ist verfügbar. Das Maintenance-Release enthält einen wichtigen Frontend-Cache-Fix, behebt das Problem mit den invaliden Frontend-Vorschau-Links und enthält verschiedene Verbesserungen hinsichtlich der Barrierefreiheit. Zudem wurde eine XSS-Schwachstelle in einer der Framework-Funktionen behoben, daher wird ein Update dringend empfohlen.

Ganzen Beitrag zu 'Contao 2.9.1 verfügbar' lesen

[xkoy]

HI,

hab nun auch geupdated. hat auch geklappt.

Habe aber ALLES überschrieben (war eh eine neu aufgesetzte Contao install).

Reicht es nicht NUR den Core zu überschreiben ?
Danke

[schman]

Wo ist den der Core?
alles vom zip ist der Core

[schman]

hoppla, hatte ich vergessen zu erwähnen das system/config die Ausnahme ist

[Nils Riel]

...und tl_files+templates solltest du behalten :=)

[blueamerican]

blöde frage: in dem buch steht was von dateien synchronisieren mit winscp... muss man das? wenn überschreiben auch geht....

[SunBlack]

Nein. Synchroniseren hat nur den Vorteil, dass du überflüssige Dateien gleich mit entfernen kannst, was beim reinen überschreiben nicht der Fall ist, und nur geänderte Dateien werden übertragen, sprich es geht schneller.

[xkoy]

tl files und templaes sind heilig, die überschreibe ich nicht :P

Ok habs mir eh gedacht, war ja eine Blank install, zum testen.

Danke :P

[blueamerican]

also den kompletten ordner system/config kann man auslassen, richtig?

[Jenna]

wie ist es denn mit den .htaccess Dateien in system/*mehrere_unterordner ?

kann ich die einfach überspielen, oder schreibt meine jetzige 2.9.0 da irgendwas rein, was bleiben sollte?

und hänge die gleiche Frage dran wie blueamerican , system/config komplett auslassen, geht das?

dank vorab...

[TLight]

Hatte ein bisschen Bammel vor dem Update auf 2.9. Nun hat sogar das direkte Update von 2.8.4 auf 2.9.1 auf Anhieb ohne Probleme geklappt. Vielen Dank allen, die mitgeholfen haben!!!

[xchs]

also den kompletten ordner system/config kann man auslassen, richtig?

Nein, nicht richtig! Nur die nachfolgenden:

/system/config/dcaconfig.php
/system/config/initconfig.php
/system/config/langconfig.php
/system/config/localconfig.php

und ev. die entsprechenden (Konfigurations-)Dateien des TinyMCE, falls auch dort eine Anpassung/Änderung stattgefunden hat.

http://www.contao.org/manuelles-update.html

[mv_alex]

Hallo zusammen,

kann man irgendwo etwas mehr über die "XSS-Schwachstelle" nachlesen? Mich würde schon interessieren, welche Versionen betroffen sind, wie kritisch die Schwachstelle ist etc.

Gruß Alex

[leo]

Es ist eine Schwachstelle, die wir selbst entdeckt haben, es gibt also (noch) keinen Exploit dafür. Betroffen sind logischerweise alle Versionen vor 2.9.1. Jede weitere Info wäre zugleich eine Anleitung für Hacker, wie man die Schwachstelle ausnutzen kann, daher werden keine weiteren Details veröffentlicht.

[mv_alex]

Das hab ich auch nicht erwartet.

Mich würde nur interessieren, ob es auch Patches für ältere Versionen geben wird. Vielleicht möchte nicht jeder unbedingt auf die 2.9.X wechseln.

Gruß Alex

[Flex]

Alle Änderungen im SVN anschauen, nachvollziehen was die Lücke sein könnte und selber fixen... Was anderes wird dir wohl nicht übrig bleiben.

[mv_alex]

Unter TL wurde das bisher anders gehandhabt. Da wurden auch für ältere Versionen Patches bereitgestellt, man denke an die kritischen Installtool-Lücken Ende 2009.

Ist das mit Contao nun eine neue Marschrichtung? Das fände ich persönlich sehr, sehr enttäuschend.

Gruß Alex

[Lengen1971]

Hi,

da steht:

Bei der manuellen Aktualisierung einer Contao-Installation können Sie entweder das komplette Contao-Archiv auf den Server übertragen (Dateien ersetzen)

Gefährlicher Hinweis. Hoffentlich wurde ein Backup gemacht...

Gruß
Michel

[Lengen1971]

Hi,

bei mir hat das Update nicht funktioniert, ich hab diese Ordner vom Backup zurückgespielt:

system/config/dcaconfig.php
system/config/localconfig.php
system/config/langconfig.php
templates/*
tl_files/*

Leider fehlen dann modifizierte/duplizierte Templates. Die auch noch zurückgespielt (falls man sich noch erinnern kann, welche man angepaßt/dupliziert hat)

Jetzt geht aber der ganze webShop nicht mehr.

Sync. ist auch schwierig, nicht jeder FTP-Server unterstützt das korrekte Setzen des 'Geändert'- und 'Erstell'-Datums. (die Dateien bekommen dann das Erstelldatum vom Server).

Gibt es die Chance seitens der Entwickler auf eine Update-Routine?

Gruß
Michel

[BugBuster]

Hallo,
wollte nur kurz berichten, es geht! (Liveupdate)
Zum Glück hatte ich die CSS, Layouts und Module so benannt, dass ich die auseinanderhalten konnte.
Denn die Migration in den neuen Theme Manager hinein schmeist ja alles in ein einziges Theme, geht ja auch nicht anders.
Danach ein zweites Theme angelegt und die passenden CSS,Layouts und Module verschoben, dadurch bleiben die IDs gleich und mach braucht selten etwas anpassen.
Nur ein Modul musste ich doppeln, das hatte ich in beiden Domains verwendet.

Erst als alles lief habe ich dann die Updates der Module auf die aktuellen Versionen durchgeführt.

[tblumrich]

Gibt es die Chance seitens der Entwickler auf eine Update-Routine?

1. Live Update
oder z.B.
2. die Extension Easy Update

Gruß
Thomas

[Zobbl]

Hallo,
wollte nur kurz berichten, es geht! (Liveupdate)
Zum Glück hatte ich die CSS, Layouts und Module so benannt, dass ich die auseinanderhalten konnte.
Denn die Migration in den neuen Theme Manager hinein schmeist ja alles in ein einziges Theme, geht ja auch nicht anders.
Danach ein zweites Theme angelegt und die passenden CSS,Layouts und Module verschoben, dadurch bleiben die IDs gleich und mach braucht selten etwas anpassen.
Nur ein Modul musste ich doppeln, das hatte ich in beiden Domains verwendet.

Erst als alles lief habe ich dann die Updates der Module auf die aktuellen Versionen durchgeführt.

Gutes Stichwort
also mir geht es nicht um die Multidomain-Migration auf 2.9.1 sondern grundlegend die Migration von 2.8.3. auf 2.9.1
Ich bin seit gestern dran eine Präsenz auf 2.9.1 upzudaten - das klappt auch alles problemlos
nur mein einziges Problem ist, dass ich die Module (auch wenn sie in der DB incl. pID vorhanden sind) & Layouts nicht mehr sehe bzw in keinem Theme zur Verfügung stehen.

Direkt nach dem Update & DB-Update (Installtool) ist kein Theme angelegt. Erstelle ich eins, bleiben wie erwähnt die Module & Layouts aktiv aber eben nicht sichtbar im Backend

Das ganze ist als manuelles Update gelaufen - das sollte ich vielleicht erwähnen ^^

Übersehen ich eine grundlegende Einstellung?
Die ganze Präsenz auf 2.9.1 nochmal zu bauen ... gott bewahre -.-

ich hoffe ihr könnt mir helfen (ich habe kein extra thema aufgemacht, da ich denke, dass mein Problem mit einem Post gelöst ist ^^)


mfg ZobbL

[Lengen1971]

1. Live Update
oder z.B.
2. die Extension Easy Update

Gruß
Thomas

Hi Thomas,

das EasyUpdate probier ich aus, danke für den Tipp

Gruß
Michel

[xkoy]

Easyupdate check ich jetzt auch mal ab !

Danke für den Tipp !

[mv_alex]

@Leo: Was ich mir wünschen würde, wäre eine Aussage, ob es Patches für ältere Versionen geben wird oder nicht.

Natürlich habe ich vollstes Verständnis, dass dies einen ungeliebten Mehraufwand für das Entwicklerteam darstellt; und dass natürlich jeder Entwickler am liebsten nur die aktuellsten Versionen im Einsatz sehen würde.

Auf der anderen Seite ist es nicht unbedingt anwenderfreundlich, wenn man durch eine abstrakte Sicherheitslücke zu einem Update gezwungen würde, obwohl man mit einer älteren Version stabil im produktiven Einsatz ist. Immerhin ergaben sich aus TL 2.8.X und Contao 2.9.X teilweise doch erhebliche Änderungen, die man nicht immer problemlos jedem Kunden verständlich machen bzw. "verkaufen" im eigentlichen Wortsinne kann.

Bei TYPO3 z.B. werden Sicherheitspatches (zumindest für eine Übergangszeit) sogar für bis zu drei parallele Entwicklungszweige veröffentlicht. Das gibt Planungssicherheit.

Gruß Alex

[tblumrich]

Easyupdate check ich jetzt auch mal ab !

Danke für den Tipp !

Bitte dran denken, das das (wie alle Updatewege) auf eigene Gefahr läuft und ein Backup trotzdem Pflicht bleibt.
Zu mal die Extension momentan zwar scheinbar sehr gut funktioniert für die aktuellsten Versionen, aber eigentlich nur bis 2.8.2 freigegeben ist.

Grundsätzlich würde ich immer dazu raten, die paar "Mark" für das LiveUpdate zu investieren. Ist ziemlich Narrensicher und man muss nicht immer das komplette ZIP Paket in seine Installation "schmeißen".

Gruß
Thomas

[NoSi]

Unter TL wurde das bisher anders gehandhabt. Da wurden auch für ältere Versionen Patches bereitgestellt, man denke an die kritischen Installtool-Lücken Ende 2009.

Ist das mit Contao nun eine neue Marschrichtung? Das fände ich persönlich sehr, sehr enttäuschend.

Gruß Alex

Ich für meinen Teil nehme jedes Update als Bugfix wahr, d.h. "alte Versionen reparieren" stellt sich mir gar nicht als Frage. "Ältere Version" sagt imho alles - ich konnte bisher mit immer vertretbarem Aufwand seit Version 1.x (weiß ich nicht mehr ganz genau) alle meine Sites (~50) mit Contao (bzw. dem Vorgänger...) problemlos auf den aktuellen Stand ziehen. Von daher sehe ich ehrlicherweise weder Sinn noch Nutzen darin, vom grandiosen Entwicklerteam die Pflege älterer Versionen zu erwarten. Eine aktuelle Version ist die Summe aller Erkenntnisse bis heute - die mit "gestrigem" vermischen, ist ein Aufwand, der als Zeit für Pflege und Weiterentwicklung verloren geht. Falls also nur die aktuelle Version den Fix enthalten sollte und ältere bleiben wie sie sind, sehe ich das als sinnvolle Entscheidung zugunsten der Produktentwicklung.

Grüße
NoSi

P.S. : Darüber hinaus würde ein Patch im konkreten Fall für entsprechende Interessenten die vollständige Anleitung für einen Angriff beinhalten. Damit alle Contao-Benutzer unter Zugzwang zu setzen, hielte ich für erheblich problematischer, als zu erwarten, dass Anwender einen der verschiedenen, sehr gut funktionierenden Update-Wege beschreiten sollten.

[NoSi]

Auf der anderen Seite ist es nicht unbedingt anwenderfreundlich, wenn man durch eine abstrakte Sicherheitslücke zu einem Update gezwungen würde, obwohl man mit einer älteren Version stabil im produktiven Einsatz ist.

Wenn ich Leo richtig verstanden habe, ist die Bedrohung keineswegs abstrakt sondern real, sonst hätte er da imho kaum Zeit darauf verwendet.

Immerhin ergaben sich aus TL 2.8.X und Contao 2.9.X teilweise doch erhebliche Änderungen, die man nicht immer problemlos jedem Kunden verständlich machen bzw. "verkaufen" im eigentlichen Wortsinne kann.

Wo ist das Problem? Wenn der Kunde Sicherheit will, zahlt er gern. Wenn nicht, lässt er´s halt. Dann ist aber hinterher jammern verboten. Ich sehe da keinen großen Argumentationsaufwand.

Bei TYPO3 z.B. werden Sicherheitspatches (zumindest für eine Übergangszeit) sogar für bis zu drei parallele Entwicklungszweige veröffentlicht. Das gibt Planungssicherheit.

Ich nehm deshalb trotzdem kein Typo3

Grüße
NoSi

[mv_alex]

Ich war auch froh, endlich eine ernstzunehmende Alternative zu TYPO3 gefunden zu haben!

Aber ich bleibe bei meiner Enttäuschung! Wenn man nur Standardinstallationen zu pflegen hat, sehe ich den Aufwand eines Updates auch gelassen.

Hast Du aber in nur drei Installationen z.B. nur je das fe_page.tpl angepasst, musst Du die Änderungen per Hand nachvollziehen. Ein Aufwand, der sich mit mehr Installationen und mehr Templates schnell potenziert.

Gerade bei Low-Budget-Projekten (und was ist heutzutage nicht Low-Budget?) kann das schnell kritisch werden.

Gruß Alex

[mv_alex]

P.S. : Darüber hinaus würde ein Patch im konkreten Fall für entsprechende Interessenten die vollständige Anleitung für einen Angriff beinhalten. Damit alle Contao-Benutzer unter Zugzwang zu setzen, hielte ich für erheblich problematischer, als zu erwarten, dass Anwender einen der verschiedenen, sehr gut funktionierenden Update-Wege beschreiten sollten.

Wer es darauf anlegt, braucht nur das 2.9.1-Release mit einem Vorgänger zu vergleichen. Dauert vielleicht länger, ist aber kein Hindernis.

Ich halte die Gefahr für größer, dass Anwender das Update scheuen und die Lücke offen lassen. Wenn es dann zu den ersten Exploits kommt, wirft das ein ungünstiges Licht auf Contao, selbst wenn die Schuld eigentlich beim Anwender liegt.

[Acta]

Das Einzige Problem was sich dabei aber stellt ist, dass nicht immer alle Erweiterungen einer Website mit der neuen Version laufen.

Es gibt einfach noch zu viele Erweiterungen die nur mit 2.8 und niedriger Reibungsfrei laufen.

[mv_alex]

Ebenfalls ein gutes Argument!

(Auch wenn die meisten in der Praxis auch ohne Freigabe funktionieren. )

[BugBuster]

nur mein einziges Problem ist, dass ich die Module (auch wenn sie in der DB incl. pID vorhanden sind) & Layouts nicht mehr sehe bzw in keinem Theme zur Verfügung stehen.

Direkt nach dem Update & DB-Update (Installtool) ist kein Theme angelegt.

Gabs im Install Tool ein Punkt "Update auf 2.9." oder so ähnlich?
Sieht mir so aus als wenn nicht. Das macht die Migration der alten Strukturen in die neue.
Ich habe im Forum schonmal nen hack beschrieben.
Die Tabelle tl_theme löschen und direkt die /contao/install.php aufrufen, dann sollte der Update Punkt erscheinen.

[Zobbl]

Also nach dem ich das Update mit EasyUpdate durchgeführt habe, erschien dieser Punkt und damit war auch die Migration erfolgreich.

Allerdings habe ich jetzt keine Inhalte auf bestimmten Seiten habe, die Links stimmen nicht mehr usw, aber des ist denke ich lösbar - fehlt wohl nur ein Haken oder es muss ein bisschen was geändert werden.

Was mir aber zudem aufgefallen ist, dass die Module (bei mir sind es 76 an der Zahl) nicht alle auf einmal angezeigt werden.
Wenn ich oben (oder unten) in der Liste "Alle" bei Datensätze auswähle, bleibt es bei der 30er Ansicht und die Liste ist leer (oder nur noch ein Eintrag vorhanden)
ich muss auf den Refresh-Button klicken um die Liste wieder zu haben. Alle auf einmal ansehen kann ich mir trotzdem nicht

Ist das ein Bug der bekannt ist? oder liegt das an meiner Installation? ^^

mfg ZobbL

Edit: Ich habe es versucht in der Online Demo zu reproduzieren --> da funktioniert alles
wenn ich nicht selbst etwas finde, werde ich wohl ein neues thema aufmachen ^^

falls noch jemand was weiß, würde ich mich über tipps freuen

mfg ZobbL

[leo]

Ausgliederung der themenfremden Diskussion: http://www.contao-community.de/showt...hr-seit-Update