Redmine 7.0.3, 6.1.6, 6.0.12 リリース

2026年11月1日（中央ヨーロッパ時間）、Redmine 7.0.3、6.1.6、6.0.12がリリースされました。複数のセキュリティに関する修正が含まれています。

• Redmine日本語情報サイト Redmine.JP
• Redmineのクラウドサービス一覧

  ---

セキュリティ情報

リリースされた3つのバージョンに共通するセキュリティの修正箇所は以下の通りです。

• Defect #44657: ReDoS in wiki macro argument parsing
  Wikiマクロの引数の解析でReDoS（正規表現によるサービス拒否）が発生する問題
• Defect #44682: Reflected XSS in attachments#edit_all (unvalidated back_url)
  添付ファイルの一括編集処理（attachments#edit_all）で、back_urlの検証不足により反射型XSSが発生する問題
• Defect #44683: validate_back_url accepts URLs that browsers resolve to another host
  validate_back_urlが、ブラウザーでは別のホストへのURLとして解釈されるURLを受け入れる問題

7.0.3と6.1.6 の2つのバージョンに共通するセキュリティの修正箇所は以下の通りです。

• Defect #44625: OAuth token scope is ignored in Project.allowed_to_condition
  Project.allowed_to_conditionでOAuthトークンのスコープが無視される問題
• Defect #44644: OAuth token scopes are bypassed when creating projects
  プロジェクトの作成時にOAuthトークンのスコープによる制限を回避できる問題

6.0.12 のセキュリティの修正箇所は以下の通りです。

• Defect #44467: Private/invisible issue subjects leaked via REST API include=children
  REST APIのinclude=childrenにより、非公開または閲覧できないチケットの件名が漏洩する問題
• Defect #44468: Private project names + role assignments leaked via GET /groups/<id>.json?include=memberships
GET /groups/<id>.json?include=membershipsにより、非公開プロジェクトの名前とロール割り当てが漏洩する問題

変更・修正一覧

各リリースのCHANGELOG（修正・変更点の一覧）の日本語訳です。チケット番号はRedmineオフィシャルサイト上のチケットにリンクしています。

7.0.3, 6.1.6, 6.0.12 共通の変更・修正内容 (3件)

Security(セキュリティ)

• Defect #44657: ReDoS in wiki macro argument parsing
  Wikiマクロの引数の解析でReDoS（正規表現によるサービス拒否）が発生する問題
• Defect #44682: Reflected XSS in attachments#edit_all (unvalidated back_url)
  添付ファイルの一括編集処理（attachments#edit_all）で、back_urlの検証不足により反射型XSSが発生する問題
• Defect #44683: validate_back_url accepts URLs that browsers resolve to another host
  validate_back_urlが、ブラウザーでは別のホストへのURLとして解釈されるURLを受け入れる問題

7.0.3, 6.1.6 共通の変更・修正内容 (21件)

Accounts / authentication(アカウント / 認証)

• Defect #44654: OAuth API request returns 500 Internal Server Error for an inactive user
  無効なユーザーによるOAuth APIリクエストで500 Internal Server Errorが発生する問題
• Defect #44673: "Lost password" function allows to set the same password again even if it was expired
  「パスワードの再発行」で、有効期限が切れたパスワードと同じパスワードを再設定できる問題
• Feature #44578: Invalidate sessions and autologin tokens when an email address is changed or deleted
  メールアドレスの変更または削除時にセッションと自動ログイントークンを無効化

Calendar(カレンダー)

• Defect #44643: Versions are shown twice (start and due date) without any visual distinction in the calendar
  カレンダーにバージョンの開始日と期日が見た目で区別できない状態で表示される問題

Code cleanup/refactoring(コード整理 / リファクタリング)

• Patch #44653: Remove leftover development hosts from the OAuth redirect URI HTTPS exemption
  OAuthリダイレクトURIのHTTPS要件の例外に残っていた開発用ホストを削除
• Patch #44690: Add public/assets to svn:ignore
  public/assetsをsvn:ignoreに追加

Email notifications(メール通知)

• Defect #44619: "File added" notification fails for Japanese users when exactly two files are added
  ファイルをちょうど2件追加したときに、日本語を使用するユーザーへの「ファイルが追加されました」通知が失敗する問題
• Defect #44650: NoMethodError in issue update notification when bulk deleting a parent issue and its subtask
  親チケットとその子チケットを一括削除すると、チケット更新通知でNoMethodErrorが発生する問題

Gantt(ガントチャート)

• Defect #44694: Missing expand/collapse icons for Gantt projects with only subprojects
  子プロジェクトのみを持つプロジェクトで、ガントチャートの展開・折りたたみアイコンが表示されない問題

Issues(チケット)

• Defect #44579: Attachments added in a single update may be listed in the wrong order in the issue history on PostgreSQL
  PostgreSQLで、1回の更新で追加した添付ファイルがチケット履歴に誤った順序で表示されることがある問題

News(ニュース)

• Defect #44361: Preview returns a 404 error on the cross-project news form
  プロジェクト横断のニュース作成フォームでプレビュー時に404エラーが発生する問題

Performance(パフォーマンス)

• Defect #44372: Chrome freezes for several minutes when opening pages with thousands of sortable items such as the custom fields list
  カスタムフィールド一覧など、並べ替え可能な項目が数千件あるページを開くとChromeが数分間フリーズする問題

Security(セキュリティ)

• Defect #44625: OAuth token scope is ignored in Project.allowed_to_condition
  Project.allowed_to_conditionでOAuthトークンのスコープが無視される問題
• Defect #44644: OAuth token scopes are bypassed when creating projects
  プロジェクトの作成時にOAuthトークンのスコープによる制限を回避できる問題

SCM(ソースコード管理)

• Defect #44231: Mercurial repository support is broken with Mercurial 7.2 or later
  Mercurial 7.2以降でMercurialリポジトリのサポートが機能しない問題

Themes(テーマ)

• Defect #44240: Automatic asset precompilation (redmine_detect_update) fails to detect new assets whose files have older mtimes than the existing manifest
  アセットの自動プリコンパイル（redmine_detect_update）で、既存のマニフェストよりファイルの更新日時が古い新規アセットを検出できない問題

Time tracking(時間管理)

• Defect #44610: Spent time custom field value is deleted when a time entry is edited by a user who cannot see the field
  作業時間のカスタムフィールドを閲覧できないユーザーが作業時間を編集すると、そのフィールドの値が削除される問題

Translations(翻訳)

• Patch #44573: Swedish translation update for 6.1-stable
  6.1-stable向けのスウェーデン語翻訳を更新
• Patch #44606: Italian translation update for 6.1-stable
  6.1-stable向けのイタリア語翻訳を更新
• Patch #44677: Extra space before colon in en.yml key setting_password_required_char_classes
  en.ymlのsetting_password_required_char_classesにコロンの前の余分な空白がある問題

UI(ユーザーインターフェイス)

• Defect #44645: Gravatar images are rendered without width and height attributes
  Gravatar画像がwidth属性とheight属性なしで描画される問題

7.0.3固有の変更・修正内容 (10件)

Attachments(添付ファイル)

• Defect #44620: Partially written thumbnails may be served during generation or after a failure
  サムネイルの生成中または生成失敗後に、書き込み途中のサムネイルが配信されることがある問題
• Defect #44624: Ghostscript process is left running when PDF thumbnail generation times out (missing merge of #44378 in 7.0.2)
  PDFサムネイル生成がタイムアウトしたときにGhostscriptプロセスが残り続ける問題（7.0.2での#44378のマージ漏れ）

Code cleanup/refactoring(コード整理 / リファクタリング)

• Patch #44597: Avoid 60-second connection timeouts in webhook executor tests on macOS
  macOSでWebhook実行処理のテスト時に60秒の接続タイムアウトが発生しないよう改善

Gantt(ガントチャート)

• Defect #44611: Gantt column resize handles are initially enabled in mobile view
  モバイル表示でガントチャートの列幅変更用ハンドルが初期状態で有効になる問題

Issues(チケット)

• Defect #44680: Assignee is not added as a watcher when creating an issue with an assignee who has auto-watch for assigned issues enabled
  担当チケットのオートウォッチを有効にしているユーザーを担当者に指定してチケットを作成しても、担当者がウォッチャーに追加されない問題

Translations(翻訳)

• Patch #44563: Japanese translation update for webhook_secret_keep_info and webhook_disabled_info_html
  webhook_secret_keep_infoとwebhook_disabled_info_htmlの日本語翻訳を更新
• Patch #44564: Bulgarian translation update for webhook_secret_keep_info and webhook_disabled_info_html
  webhook_secret_keep_infoとwebhook_disabled_info_htmlのブルガリア語翻訳を更新
• Patch #44574: Swedish translation update for 7.0-stable
  7.0-stable向けのスウェーデン語翻訳を更新
• Patch #44607: Italian translation update for 7.0-stable
  7.0-stable向けのイタリア語翻訳を更新

Wiki

• Defect #44623: Wiki include() macro adds faulty "Edit this section"-links
  Wikiのinclude()マクロが誤った「このセクションを編集」リンクを追加する問題

6.0.12固有の変更・修正内容 (2件)

Security(セキュリティ)

• Defect #44467: Private/invisible issue subjects leaked via REST API include=children
  REST APIのinclude=childrenにより、非公開または閲覧できないチケットの件名が漏洩する問題
• Defect #44468: Private project names + role assignments leaked via GET /groups/<id>.json?include=memberships
GET /groups/<id>.json?include=membershipsにより、非公開プロジェクトの名前とロール割り当てが漏洩する問題

詳細はRedmine公式サイトのCHANGELOGをご覧ください。