Notes de version idelibre 4.5.1

Publié le 7 août 2026

Evolutions

• Mise à jour du framework Symfony 7.4.15
• Mise à jour de sécurité (composer et npm)
• [Modèle email] L’éditeur intègre un bouton permettant d’insérer en un clic un bouton d’accès lié à une variable URL (#urlseance#, #lienmagique#, #applicationLien#, #urlpresence#, …), avec un menu déroulant lorsque plusieurs variables sont disponibles.

Evolution socle technique

• Mise à jour de l’image docker : libriciel-feedback
• Mise à jour de l’image docker : Nginx

Corrections

• [Migration] Correction d’une erreur lors de la migration depuis une version 4.4.x lorsque des utilisateurs n’ont pas de date de création.
• [Migration] Correction d’une erreur lors de la migration depuis une version 4.4.x lorsque des jetons d’horodatage ne sont rattachés à aucune séance.
• [Migration] Correction d’une erreur lors de la migration depuis une version 4.4.x lorsque des SIRET de responsable de traitement (RGPD) dépassent 14 caractères (séparateurs, groupes mal découpés ou plusieurs SIRET dans le même champ) : les valeurs sont normalisées avant la réduction du champ, et les cas de SIRET multiples sont signalés dans la sortie de la migration.
• [Commande] Le script de création du rôle « Suppléant » vérifie désormais si le rôle existe déjà avant de le créer, ce qui le rend rejouable sans erreur.
• [Commande] Le script de migration des variables des templates email indique désormais, pour chaque structure, quand aucune variable ne doit être remplacée.
• [Sécurité] Durcissement de la configuration nginx.
• [Sécurité] Les secrets de signature sont désormais obligatoires : la pile refuse de démarrer s’ils ne sont pas renseignés, au lieu de retomber silencieusement sur une valeur par défaut publique. Le noyau rejette également ces anciennes valeurs de remplissage.
• [Sécurité] Prise en compte des reverse proxies de confiance (trusted_proxies/trusted_headers) : IP client fiable pour le rate-limiting et les logs, et flag Secure correctement posé sur le cookie de session derrière le proxy TLS.
• [Sécurité] Contrôle d’accès sur la route interne listant les élus convoqués à une séance : elle est désormais réservée aux gestionnaires de séance de la structure concernée.
• [Sécurité] Contrôle d’accès sur le comptage des caractères d’un SMS, désormais réservé aux gestionnaires de connecteurs.
• [API] Le champ initials (abréviation) des groupes politiques est désormais accepté en création et en modification via l’API v2.
• [Modèle email] Le popover « Variables » s’ouvre désormais à droite du bouton, reste en place lors du défilement et un seul popover peut être ouvert à la fois.