#29408 Security-Scan: httpcore5 anheben; pdfbox-/azure-Findings bewerten

enhancement

critical

#29088

Model-based access rights

#29108

Lightweight UI definition layer (TL Views) based on React UI-Components

major

#28694

Beschreibung von Modellteilen als formatierter Text (Rich Text)

#28708

Standard-Selektion in (Baum-)Tabellen und Grids per TL-Script berechenbar machen

#29102

Add com.top_logic.layout.react module for React/SSE integration

#29221

Automatische Bestimmung möglicher Berechtigungskonfigurationen

#29349

XML-Parse-Funktionen für TL-Script über XMLImporter

#29374

TL-Script: gzip()

#29389

Code-Completion für Variablen ($) im TL-Script-Editor

#29396

Conversation display for TL Views: object-list element, file chips, card panels

#29399

Info-Service-Meldungen: unten statt oben anzeigen und beim Überfahren mit der Maus fixieren

#29400

Introduce a first-class application "operation mode" service (OperationMode enum + ApplicationModeService)

minor

#29085

Neu einloggen bei Session Timeout anstatt Redirect zur Login-Seite

#29089

TL-Script-Funktionen log() und info() um wählbaren Meldungs-Level (INFO, WARN, ERROR) erweitern

#29195

Probleme mit HTML-Attributen und TL-Script

#29306

TL Script: dateFormat() should accept an explicit timezone to format Calendar values losslessly

#29382

Expose a public classpath-driven Workspace.getAppPaths overload

#29385

App archetype should scaffold a standard git-ignored local-credentials overlay (tl_config) by default

#29392

Transaktionsabbruch bei Nicht-2xx Response

#29398

defect

major

#29383

Dead SOCKET_APPENDER (Chainsaw, localhost:4445) in default logging config can stall logging and abort operations under load

#29384

TL-Script resetSequence/generateSequenceId build a different sequence id than SequenceDefaultProvider (suffix/context order), so they cannot reset a provider-managed sequence with a dynamic context

#29394

Editable tables in the React UI: generalized row-set bindings for tabular editing in forms

#29410

Attribut filename der Structured-Text-Bildablage case-sensitive (binär) speichern

#29419

Understandable save failures and form validation feedback in the React view layer

minor

#28816

Referenzwertige Attribute erzeugen Fehler nur bei SingleSelection

#29359

Unsinniger Tooltip bei einigen Hauptreitern

#29360

Sporadische Fehlermeldung im Log: "mainLayout" ist null.

#29361

Invalide Datenbankdefinition für Tag

#29363

Fehlende Validierung von Dialogen bei GOTOs zu Dialogen von unsichtbaren Parents

#29380

Kontextabhängige Auto-Nummerierung schlägt fehl, wenn Kontext und nummeriertes Objekt in einer Transaktion erzeugt werden

#29381

Doppelklick in Grafikkomponente funktioniert nicht zuverlässig

#29390

Teilbaum-Auswahl endet zu früh, wenn die unterste Ebene vom Ebenen-Filter nicht mitgezählt wird

#29393

URL-Routing der React-View-Schicht defekt: ForwardingReactContext delegiert getRouteManager() nicht

#29401

Bilder in einem Bild-Drop-Feld können nicht über das Browser-Kontextmenü kopiert/gespeichert werden

#29402

Baum-Selektion geht bei Aktualisierung der Ansicht (invalidate) verloren

#29412

Flaky TestDynamicComponentService.testIncrementalUpdates: asserts on asynchronous WatchService event after a fixed 10ms sleep

#29416

Anzeige des Änderungslogs schlägt fehl, wenn parallel Änderungen committet werden

#29420

FlowDiagram: Fehlerfall im row-wise Sub-Grid: subGridCols=2 und subGridStartCol=1

#29426

FlowDiagram: Text in PDF-eingebettetem Diagramm ist nicht selektierbar

task

major

#29407

Security-Scan: npm-Abhängigkeiten der React-Module aktualisieren

#29408

Security-Scan: httpcore5 anheben; pdfbox-/azure-Findings bewerten

minor

#29415

Slim down the repository CLAUDE.md and consolidate developer guidance into skills and FAQ articles

task

major

#29408

Security-Scan: httpcore5 anheben; pdfbox-/azure-Findings bewerten

DependencyUpdate

Ein Security-Scan (Juli 2026) meldet drei Maven-Findings. Nur eines ist ein echtes, per Upgrade zu behebendes Problem; die beiden anderen sind ein veralteter Jar-Rest bzw. ein False Positive und werden hier zur Nachvollziehbarkeit dokumentiert.

1. httpcore5 — echter Fix (HIGH)

= Paket =	= aktuell =	= CVE =	= Fix =
org.apache.httpcomponents.core5:httpcore5	5.2.4	CVE-2026-54428, CVE-2026-54399 (DoS durch unbegrenzte Header-Länge/-Anzahl)	≥ 5.4.3 (bzw. 5.5-beta2)

httpcore5 kommt transitiv über httpclient5 (im Root-POM auf 5.2.3 gepinnt). Lösung: httpclient5 auf eine Version anheben, die httpcore5 ≥ 5.4.3 zieht (httpclient5 5.5), oder httpcore5 5.4.3 direkt im dependencyManagement überschreiben. CVE-2026-54428 betrifft konkret httpcore5-h2 (HTTP/2). Laufzeitrelevant (u.a. OpenAPI-Client) — daher der eigentlich wichtige Punkt dieses Tickets.

2. pdfbox-io 3.0.7 — kein echtes Finding

Gemeldet: CVE-2026-23907, CVE-2026-33929 auf org.apache.pdfbox:pdfbox-io@3.0.7.

Die CVEs betreffen tatsächlich pdfbox-examples (Beispielcode ExtractEmbeddedFiles), das nicht eingebunden ist — die Zuordnung des Scanners zu pdfbox-io ist eine Fehlzuordnung.
Das Root-POM pinnt bereits pdfbox 3.0.8 (die Fix-Version); pdfbox 3.0.8 zieht pdfbox-io 3.0.8. Die im lokalen Repo/Scan aufgetauchte pdfbox-io-3.0.7.jar ist nur ein veralteter Rest.

Aktion: Sicherstellen, dass der Scan gegen einen sauberen Build (clean install) läuft; kein Code-Change nötig.

3. azure-keyvault-core 1.2.4 — False Positive (als CRITICAL gemeldet)

Gemeldet: CVE-2026-33117 (CVSS 9.1) auf com.microsoft.azure:azure-keyvault-core@1.2.4.

CVE-2026-33117 betrifft com.azure:azure-security-keyvault-keys < 4.10.6 (modernes Azure-SDK für Java).
com.microsoft.azure:azure-keyvault-core 1.2.4 ist ein anderes Artefakt (Legacy-Krypto-Helper, transitiv über azure-storage 8.6.6 im Modul com.top_logic.storage.azure). Namens-Kollision im Scanner — das verwundbare Artefakt ist gar nicht eingebunden.

Aktion: Als False Positive markieren / im Scanner unterdrücken. Kein passender Fix, da das betroffene Artefakt nicht verwendet wird.