User Role Editor

Дневник измена

[4.66.2] 25.09.2026.

• Безбедносна исправка: заштита улоге администратора (URE_Protect_Admin::exclude_admin_role()) искључивала је улогу „administrator“ са списка улога које се могу доделити само на класичним екранима за уређивање корисника, а не и у сопственим admin-ajax.php радњама додатка; корисник са способношћу „promote_users“ (без сопствене кључне способности додатка) могао је стога себи или другом кориснику да додели улогу „administrator“ преко AJAX радње „Додај улогу“/„Додели улоге“, заобилазећи исту заштиту коју је класични екран корисника исправно спроводио. Открио и одговорно пријавио Humberto (SVO, https://svo.com.br).
• Исправка: AJAX захтев дијалога „Додели улоге“ (get_grant_roles) погрешно је захтевао сопствену кључну способност додатка уместо „promote_users“, одбијајући кориснике који су имали само „promote_users“ – способност за коју је функција додељивања улога осмишљена – уз грешку „Недовољне дозволе“.
• Исправка: дијалог „Додај улогу“ наставио је да приказује претходно унети назив улоге (ИБ) и назив улоге за приказ након додавања улоге, уместо празних поља.
• Исправка: отварање екрана за уређивање профила корисника и излазак без измена могао је да прикаже лажно упозорење прегледача „Измене које сте направили можда неће бити сачуване“ кад год је кориснику била додељена нека „Остала улога“; вишеструки избор осталих улога сада исцртава изабране могућности директно у HTML-у уместо ослањања на JavaScript да их изабере после учитавања странице.
• Ажурирање: дијалог „Избриши улогу“ сада наводи улоге које се могу избрисати у табели са пољима за штиклирање (колоне Назив улоге / ИБ улоге) уместо падајућег списка са једним избором, тако да се више улога може избрисати у једној радњи; стара могућност „Избриши све некоришћене улоге“ замењена је пољем за штиклирање „изабери све“ у заглављу табеле.
• Ажурирање: дијалог „Избриши способност“ сада има текстуално поље „Брзи филтер“ поред поља за штиклирање „изабери све“, ради сужавања списка способности на исти начин као поље „Брзи филтер“ на главној страници.
• Ажурирање: могућност мреже „Дозволи онима који нису супер администратори да праве, уређују и бришу кориснике“ сужена је на „Дозволи онима који нису супер администратори да уређују кориснике“. Део „праве“ удвостручавао је сопствено подешавање мреже у језгру Вордпреса „Дозволи администраторима сајтова да додају нове кориснике на свој сајт преко странице ‘Корисници -> Додај корисника’“, а део „бришу“ давао је способност коју језгро Вордпреса никада заправо не дозвољава администратору појединачног сајта да користи (брисање корисника је блокирано ван администрације мреже без обзира на способност) – оба су уклоњена, заједно са привременим заобилазним решењем опонашања супер администратора на које су се ослањала.
• Ажурирање: сопствене JavaScript датотеке додатка (ure.js, settings.js, users.js, user-profile-other-roles.js, users-grant-roles.js) сада имају умањена .min.js издања, направљена помоћу esbuild; свака се ставља у ред за учитавање преко Вордпресове константе SCRIPT_DEBUG, по истом правилу које се већ користи за приложене notify.js/multiple-select.js (неумањени извор када је SCRIPT_DEBUG укључен, у супротном умањено издање).
• Ажурирање: сопствени CSS додатка (css/ure-admin.css) сада има умањено .min.css издање, направљено помоћу esbuild; ставља се у ред за учитавање преко Вордпресове константе SCRIPT_DEBUG, по истом правилу које се већ користи за сопствене JS датотеке додатка (неумањени извор када је SCRIPT_DEBUG укључен, у супротном умањено издање).
• Ажурирање: слободне глобалне функције у js/users-grant-roles.js (дијалог Grant Roles, дугмад Add/Revoke role на страници корисника) обједињене су у један објекат URE_Users_Grant_Roles.
• Ажурирање: застарели jQuery скраћени облик везивања догађаја .click()/.click(fn) замењен је са .on(‘click’, fn) у users-grant-roles.js и users.js, чиме је уклоњено упозорење о застаревању jQuery Migrate на страници корисника.
• Ажурирање: слободне глобалне функције у js/users.js (дијалог дугмета „Without role“ на страници корисника) обједињене су у један објекат URE_No_Role_Users; кôд onclick дугмета у URE_Assign_Role::show_html() ажуриран је у складу с тим.
• Ажурирање: слободне глобалне функције у js/user-profile-other-roles.js (контрола вишеструког избора „Other Roles“ у корисничком профилу) обједињене су у један објекат URE_User_Profile_Other_Roles.
• Ажурирање: слободне глобалне функције у js/settings.js (дијалог потврде „Reset User Roles“ на страници подешавања) обједињене су у један објекат URE_Settings.

[4.66.1] 25.08.2026.

• Исправка: својство URE_Assign_Role::$lib промењено је у protected.
• Исправка: приватна функција URE_Uninstall::delete_options() промењена је у protected.
• Исправка: URE_Uninstall::init_options_list() упућивао је на ‘ure_task_queue’, што никада није одговарало URE_Task_Queue::OPTION_NAME (‘ure_tasks_queue’), па та могућност никада није брисана при уклањању.
• Исправка: URE_Core::define_files() – класа URE_Uninstall није исправно додата, уместо назива класе уписан је null.
• Исправка: укључивање Pro издања док је бесплатно већ било активно изазивало је фаталну грешку „Cannot redeclare ure_log_error()“; декларација функције сада је заштићена помоћу function_exists().
• Исправка: укључивање овог додатка док је упарени Pro додатак већ био активан тихо је остављало оба активна уместо искључивања упареног, јер се позив register_activation_hook() никада није извршио у том захтеву; сада је регистрован као самостална функција директно у главној датотеци додатка, пре провере class_exists(‘URE_Loader’) која га је прескакала.

[4.66] 19.08.2026.

• Ажурирање: означено као сагласно са Вордпресом 7.1
• Потребно издање PHP-а повећано је на 7.4
• Потребно издање Вордпреса повећано је на 4.6
• Ажурирање: побољшан је кôд учитавања додатка.
• Ажурирање: додатак не користи сопствене PHP глобалне константе. Потребни подаци премештени су унутар класа.
• Ажурирање: излаз класе URE_Admin_Notice избегнут је функцијама esc_attr(), wp_kses_post().
• Безбедносна исправка: SQL упити у URE_Editor::direct_network_roles_update() и leave_roles_for_blog() прослеђују се у $wpdb->prepare() са стварним чуварима места %s.
• Безбедносна исправка: URE_Editor::get_caps_columns_quant() сада захтева исправан једнократни кôд пре уписивања привременог податка о поставци приказа из $_POST, чиме је затворена мања CSRF пукотина.
• Исправка: URE_Protect_Admin је користио битовски „&“ уместо логичког „&&“ при провери низа способности, што је могло да изазове PHP 8 TypeError; исправљено да користи „&&“, а повезана SQL клаузула IN() сада је ојачана помоћу array_map(‘absint’, …).
• Ажурирање: радње једнократних кодова које се користе на страницама подешавања/алатки сада су ограничене по обрасцу (ure_settings_update, ure_addons_settings_update, ure_default_roles_update, ure_settings_ms_update, ure_settings_tools_exec) уместо једне заједничке ниске.
• Ажурирање: додатно избегавање излаза додато је у URE_View, URE_Role_View и URE_Role_Additional_Options (подложнице улога/способности, wp_json_encode() уместо json_encode(), esc_url() за радње образаца), као и додатна провера способности у URE_Role_Additional_Options::save().
• Ажурирање: rel=“noopener noreferrer“ је додат спољашњим везама које се отварају са target=“_new“.
• Ажурирање: чврсто кодиране текстуалне ниске на траци алата уређивача улога сада могу да се преведу.
• Исправка: URE_Assign_Role је користио SQL чувар места %i, коме је потребан Вордпрес 6.2+, што је испод декларисаног минимума додатка; замењено директним уметањем назива интерних табела.
• Исправка: URE_Editor::reset_user_roles() имао је неизбегнуту поруку wp_die(); додатно избегавање излаза (esc_url(), esc_html(), absint()) додато је у URE_Base_Lib, URE_Editor, URE_User_Other_Roles и URE_User_View.
• Исправка: неколико поређења променљивих захтева/резултата базе података која су могла да се заобиђу PHP претварањем типова сада су строга, укључујући проверу „не можете уклонити сопствену администраторску улогу“ у URE_Grant_Roles::is_try_remove_admin_from_himself().
• Исправка: URE_Base_Lib::set() сада исправно одбија непозната својства уместо да их тихо прави; URE_View изричито декларише своје својство $advert.
• Ажурирање: $_SERVER[‘REQUEST_URI’] сада се проверава и уклањају му се косе црте пре чишћења у URE_Lib::is_right_admin_path() и URE_User_Other_Roles::is_user_profile_extention_allowed().
• Ажурирање: послати ИБ-ови улога сада се чисте (sanitize_key(), wp_unslash()) у URE_Editor, а његови параметри захтева ‘object’/избора улоге ограничени су на познате вредности.
• Ажурирање: URE_Base_Lib::get_blog_ids() сада користи get_sites() уместо необрађеног упита базе података.
• Ажурирање: URE_Capability::revoke_caps() сада користи get_users() уместо необрађеног упита базе података.
• Ажурирање: URE_Protect_Admin::has_administrator_role() сада користи user_can() уместо необрађеног упита базе података.

[4.65] 21.05.2026.

• Ажурирање: означено као сагласно са Вордпресом 7.0
• Ажурирање: кôд страница измењен је у складу са CSS изменама у Вордпресу 7.0.
• Ажурирање: заштита „defined(‘ABSPATH’)“ додата је у све PHP датотеке ради спречавања директног извршавања PHP датотека.
• Ажурирање: функције sanitize_text_field(), sanitize_key(), sanitize_url() користе се за заштиту корисничког уноса пре обраде.
• Ажурирање: провера поља _nonce додата је пре ажурирања података, поред провере која се већ обавља на вишем нивоу.

Датотека changelog.txt садржи пун списак измена.