Zum Hauptinhalt springen

Uni-Verein 1.8.2 – Sicherere Mails, maskierte IBANs und Vereinslogo 🛡️✉️

· 4 Minuten Lesezeit
René Herrmann
René Herrmann
Senior developer

Veröffentlicht am 30. September 2026

Uni-Verein 1.8.2 setzt die Sicherheitsarbeit aus 1.8.1 fort: Mail-Inhalte werden serverseitig bereinigt, IBANs sind für reguläre User maskiert und der Passwortwechsel verlangt das aktuelle Passwort. Dazu kommen ein eigener Absendername für Mails und das Vereinslogo in der Seitenleiste.

Highlights​

  • 🛡️ Sicherere Mails: Mail-Inhalte werden auf dem Server bereinigt. Es bleibt nur die Formatierung erhalten, die der Mail-Editor erzeugen kann, Skripte, Event-Handler, javascript:-Links, Formulare und iframes werden entfernt
  • 🔒 IBANs für reguläre User maskiert: Nur ADMIN und FINANCIAL_MANAGER sehen vollständige IBANs, die Rolle USER sieht sie bis auf die letzten 6 Zeichen maskiert
  • 🔑 Passwortwechsel nur mit aktuellem Passwort: Falsche Eingaben zählen zur Login-Sperre
  • ✉️ Absendername für Mails: Neues Feld "Absendername" in den Mail-Einstellungen, damit Mails z. B. als Vorstand <vorstand@verein.de> erscheinen
  • 🖼️ Vereinslogo in der Seitenleiste: Die Seitenleiste zeigt das Logo aus den allgemeinen Einstellungen

Neue Funktionen​

  • ✉️ Absendername (UV-47): Die Mail-Einstellungen haben ein neues optionales Feld "Absendername", das Empfänger als Absender sehen. Bisher wurde "Absender Email (From)" gleichzeitig als Name und Adresse verwendet, sodass die Eingabe eines Namens dort den Mailversand scheitern ließ. Das Feld für die Absender-E-Mail akzeptiert jetzt nur noch eine gültige Adresse
  • 🖼️ Vereinslogo in der Seitenleiste (UV-24): Das Logo aus den allgemeinen Einstellungen erscheint oben links in der Seitenleiste, sowohl aufgeklappt als auch eingeklappt. Ist kein Logo hochgeladen, wird weiterhin der erste Buchstabe des Vereinsnamens angezeigt

Sicherheit​

  • 🛡️ Mail-Inhalte bereinigen (UV-17): Der Text von Mails, die über /mail/send verschickt werden, wird serverseitig mit HtmlSanitizer bereinigt. Erhalten bleiben Text, Überschriften, Listen, Links, Bilder, Farben und Ausrichtung. Skripte, Event-Handler, javascript:-Links, Formulare und iframes werden entfernt, data:-URLs sind nur für Inline-Bilder erlaubt (kein SVG). Markdown-Release-Notes in Firmware-Update-Mails rendern außerdem kein rohes HTML mehr
  • 🔒 IBANs maskieren (UV-26): Vollständige IBANs der Mitglieder erhalten nur ADMIN und FINANCIAL_MANAGER. Die Rolle USER bekommt sie bis auf die letzten 6 Zeichen maskiert (Mitgliederliste, Antworten beim Anlegen/Ändern von Mitgliedern und die Warteschlange "Ausstehende Mitglieder"). So lässt sich eine IBAN weiterhin prüfen und durch eine neue ersetzen. Eine maskierte IBAN, die zurück an die API geschickt wird, gilt als unverändert und wird nie gespeichert
  • 🔑 Aktuelles Passwort erforderlich (UV-30): Wer sein eigenes Passwort ändert, muss das aktuelle eingeben, sowohl in den Profileinstellungen als auch, wenn ein Admin in der Benutzerverwaltung seinen eigenen Account bearbeitet. Falsche Versuche zählen zur Login-Sperre. Admins können die Passwörter anderer Benutzer weiterhin ohne das alte Passwort zurücksetzen
  • 🧰 Die transitive Build-Abhängigkeit serialize-javascript wurde auf 7.1.2 angehoben, um GHSA-gfhx-hw2g-v5hg zu beheben (XSS durch nicht maskiertes </script> in serialisierten Funktionskörpern, Schweregrad niedrig)

⚠️ Hinweise zum Update​

  • Immer mit docker-compose-update.yml aktualisieren, wie in der README beschrieben
  • Die Datenbank-Migration (AddMailFromName) läuft beim Start automatisch. Bestehende Mail-Einstellungen funktionieren weiter, der neue Absendername ist zunächst leer
  • Wer als Workaround einen Namen in "Absender Email (From)" eingetragen hatte, sollte ihn in das neue Feld "Absendername" verschieben. Das Feld für die Absender-E-Mail akzeptiert nur noch eine gültige Adresse

Warum diese Updates wichtig sind​

Mails sind ein sensibler Weg: Wer Inhalte aus dem Editor versendet, soll sich darauf verlassen können, dass dabei kein aktiver Code mitreist. Maskierte IBANs sorgen dafür, dass Bankdaten nur diejenigen vollständig sehen, die sie wirklich brauchen, und die Abfrage des aktuellen Passworts schützt Accounts auch dann, wenn jemand kurz an einem entsperrten Rechner sitzt. Absendername und Logo machen den Verein zudem im Postfach und in der Oberfläche besser erkennbar.

Wie geht es weiter?​

Weiteres Feedback aus der Praxis ist wie immer herzlich willkommen, gerne über GitHub Issues. Schaut auch weiterhin gerne hier vorbei!