#29726 WYSIWYG-Editor: Umstellung auf Tiptap 3 (Sicherheitslücke GHSA-cp6q-959q-f8rh)

enhancement

major

#29651

TL Views: Container <accordion> mit einklappbaren Abschnitten

#29652

TL Views: Hinweisbox <alert> im Inhalt einer View

#29654

TL Views: Auswahlfeld als Radio-Gruppe für beliebig viele Optionen

#29661

TL Views: Prototyp "TopLogic UI on MUI" – Adaptermodul mit Material UI für die ersetzbaren Komponenten

#29692

TL Views: Formularfelder, Tabellenzellen und das Bearbeiten eines Formulars richten sich nach den Modell-Zugriffsrechten

#29693

TL Views: Große und mehrwertige Werte erscheinen in Tabellenzellen als einzeilige Vorschau mit einem Knopf, der den vollständigen Editor in einem Dialog öffnet

#29707

Reduce PR CI build time: parallel reactor build, sharded scripted tests, affected-module builds

#29730

React-Oberfläche: Kanban-Board als View-Element (Karten per Drag & Drop zwischen Spalten verschieben)

#29735

User menu: the application cannot say what the account is called

#29741

anonymous-Benutzer soll per Default nicht in Personenauswahlfeldern auftauchen

#29744

TL Views: Entwicklerwerkzeuge (Designer, Aufzeichnen, Untersuchen, Agentenzugriff) in einem eigenen Entwicklungsmenü der App-Leiste

#29752

React-UI: Kleine Verbesserungen der Oberfläche (Snackbar, Hover, Tooltips, Schieberegler, Abstände)

#29758

ModelAccessRights: Anlegerecht in Kompositionsattribut für Spezialisierung des Zieltyps prüfen

#29759

React-UI: Commit-Nachrichten für Änderungen aus Sichten (TL-Script-Aktionen, Transaktionen, Löschen) konfigurierbar, sinnvolle Standard-Nachrichten

#29760

Improve the React UI of the model-based security configuration; let a TL-Script function determine the access parent of a type

#29765

Engine developer docs (FAQ) are not discoverable when developing an application based on the engine

minor

#29513

Drag&Drop: Commit-Nachricht für Drop-Operationen konfigurierbar, sinnvolle Standard-Nachricht

#29747

Make the LDAP configuration ldapConf.xml configurable by system properties / environment variables

#29754

OpenAPI-Server: Variablenname für Request-Parameter, deren Name kein gültiger TL-Script-Bezeichner ist (z.B. Header X-Gitea-Event)

defect

major

#29581

TopLogicServlet: Vertrag dokumentieren - eine Anfrage hat nur im Fenster einen Benutzer

#29642

React dialog size memory: one key for every dialog, stored size beats the declared width and is never clamped to the window

#29646

TL Views: Der Build der React-Client-Module prüft die TypeScript-Typen nicht, in com.top_logic.layout.react sind dadurch 29 Typfehler aufgelaufen

#29697

HistoryQuery: Start- und Stop-Revision aus HistoryQueryArguments werden bei der Suche ignoriert.

#29701

TL Views: a form shown again after its sidebar section or tab was hidden keeps the values it had when hidden; a reload renders the stale values again

#29711

Setzen einer geordneten Liste (ListStorage) ist beim Einfügen vor bestehenden Elementen überquadratisch langsam; TestListStorage misst Wanduhrzeit und scheitert unter Last

#29712

Problem beim Zurücksetzen einer Selektion im Baum

#29716

Modellbasierte Leseprüfung: Rollen-Lookup kompiliert pro Objekt und Gruppe neue KB-Abfragen, Nicht-Admin wartet 70 s statt 9 s

#29723

Model editor class diagram fails with "Comparison method violates its general contract!"

#29724

PathNavigation: abstract attribute rejected by isDerived() check even though concrete overrides exist and are tracked

#29728

FlowChartComponent: Ein Neubau des Diagramms entfernt Objekte aus der Selektion, die im Diagramm nicht dargestellt werden

#29731

TL Views: <persist-transient> copies the draft's empty values over the creation defaults; a sequence number or creation date computed at commit is lost

#29732

TL Views: <create-transient container="…"> creates the draft without the container's context; option lists and context-dependent defaults of the draft see no container

#29734

View form: <store-form-state/> does not persist new rows of a <composition-table>, so saving a persistent owner fails

#29737

TL Views: a collapsing toolbar measures its commands only when its groups change; a command that shows itself later keeps a 0 px toolbar and draws over the panel title

#29740

Fehlender Schutz für den anonymous-Benutzer

#29745

Zugriff auf ein abstraktes Attribut meldet einen Fehler, der nicht sagt, dass das Attribut abstrakt ist: eigene Storage für abstrakte Attribute

#29746

FileManagerOverlay/FileManagerDelegate cannot read resources inside web-fragment WARs (tl_config overlay fails on engine configuration files)

#29773

PostgreSQL: Große SQL-Migrationen werden durch nicht freigegebene Autosave-Savepoints quadratisch langsam

minor

#29029

Incrementally deactivated drop-down select box can still be operated

#29514

Befehlsfreigabe und Berechtigung von Drag&Drop

#29696

Scheduler: Start- und Cluster-Verhalten von Tasks bereinigen – <on-startup/> pro Knotenstart, Tasks erst ab RUNNING, run-on-startup entfernen, kein Default für isNodeLocal()

#29699

TL-Script: htmlText(htmlSource($text), images) drops the images of a stored structured text, since it does not accept the "ref:" references it writes itself

#29700

TL Views: the open session of a deleted account keeps evaluating as that account; every model event logs "DeletedObjectAccess … was already deleted" from its observers

#29722

FlowDiagram: Fehlerhafte Baum-Layout-Berechnung

#29727

TL-Script Auswertungen mit Filtern können zu "null"-Literalen führen.

#29733

TL Views: a click on the padding of the React rich-text editor's content area does not focus the editor; the typed text is lost

#29736

Click-region menu opens flush on the window edge and under the trigger's tooltip

#29738

TL Views: the menu cliques of a toolbar are labelled in English in every language ("More", "View", "Export")

#29739

React tooltip stays open at the window's top-left corner when its anchor is removed under the pointer

#29743

React UI: Tooltip eines Menüeintrags erscheint hinter dem Menü

#29753

OpenAPI-Client: NullPointerException bei Antwort ohne Body (z.B. 204) mit Status ungleich 200

#29774

OpenAPI server: API key authentication cannot resolve an account — Person.byName called without an InteractionContext

task

major

#29725

CheckDependencies: npm-Abhängigkeiten werden nicht aktualisiert, transitive Maven-Abhängigkeiten mit bekannten Sicherheitslücken

#29726

WYSIWYG-Editor: Umstellung auf Tiptap 3 (Sicherheitslücke GHSA-cp6q-959q-f8rh)

task (User-visible)

major

#29726

WYSIWYG-Editor: Umstellung auf Tiptap 3 (Sicherheitslücke GHSA-cp6q-959q-f8rh)

ReactUI

The React WYSIWYG editor (com.top_logic.layout.react.wysiwyg) uses Tiptap 2 (@tiptap/core 2.27.x). The Jenkins job CheckDependencies reports GHSA-cp6q-959q-f8rh for it:

Tiptap: mergeAttributes() turns an own __proto__ key into inherited executable DOM attributes.

Affected are all versions >=2.0.0-alpha.0 <3.30.4; there is no fixed 2.x release. The fix requires the upgrade of all @tiptap/* packages to Tiptap 3 (3.30.4 or later), a major release with API changes (e.g. packaging of the table and text-style extensions), so the editor component has to be migrated and re-tested.

Beim Test fiel außerdem auf: In einem Dialog (z.B. Bearbeiten-Dialog mit einem Rich-Text-Feld) ließ sich das Link-Popup der Editor-Werkzeugleiste nicht öffnen, und die Auswahl einer Überschriftenebene bzw. Liste erzeugte eine Flut von RangeError: Maximum call stack size exceeded. Die Popups werden an document.body gerendert; die Fokusfalle des Dialogs holte den Fokus zurück, das Popup holte ihn wieder an sich. Nach dem Schließen eines Popups lag der Fokus zudem auf dem Werkzeugleisten-Button statt im Text, sodass sofortiges Weiterschreiben ins Leere ging.

Lösung

Alle @tiptap/*-Pakete auf Tiptap 3 (ab 3.31.4), @tiptap/pm als direkte Abhängigkeit. Die in Tiptap 3 zusammengelegten Pakete entfallen: Unterstreichen und Link sind Teil des StarterKit, Tabellenzeile/-zelle/-kopf Teil von @tiptap/extension-table, Farbe Teil von @tiptap/extension-text-style.
Der Editor konfiguriert Link (ohne Öffnen per Klick) über das StarterKit. Die mit Tiptap 3 neue Standard-Erweiterung TrailingNode (leerer Absatz hinter einer abschließenden Tabelle bzw. einem Codeblock) ist abgeschaltet, damit das Öffnen eines bestehenden Texts im Editor dessen HTML nicht verändert.
Tiptap 3 rendert die Editor-Komponente nicht mehr bei jeder Transaktion neu. Die Werkzeugleiste liest ihre Zustände (aktive Formatierung, Überschriftenebene, Liste, Link, Rückgängig/Wiederholen) daher über useEditorState und wird nur neu gerendert, wenn sich einer davon ändert.
Angepasste API: setContent(html, { emitUpdate: false }).
Die Popups der Werkzeugleiste (Überschrift, Listen, Link) tragen die Markierung anchoredOverlayProps der Bridge, sodass die Fokusfalle eines Dialogs sie als Teil des Dialogs behandelt. Beim Schließen eines Popups (Auswahl, Übernehmen, Escape, Klick daneben) kehrt der Fokus an die vorherige Stelle im Text zurück.