Bezpieczeństwo logowania Melapress

Rejestr zmian

2.2.0 (2025-07-15)

• Poprawka bezpieczeństwa

  • Fixed a security vulnerability reported by Kr0d.

• Ulepszenia wtyczek

  • Adjusted all emails sent by the plugin to include the new Melapress logo.
  • Added more UI/UX elements to better assist the site admin during plugin configuration (e.g. Policies per role tabs).
  • Added Various code sanitization checks and adjustments throughout the plugin for improved overall security.

• Poprawki błędów

  • Fixed a few logic errors that could cause „Reset all users” passwords to malfunction when certain password policies were enabled.
  • Fixed a bug that caused custom role policies to not be enforced correctly and instead use the „site-wide” policies.
  • Fixed the „Delete” button which was not working in the list of temporary login users.
  • Fixed an issue with bulk-sending password resets from the Users page, which could have bypassed plugin policies that disallow initiating password resets.
  • Fixed a user-reported 503 HTTP that could occur when password resets were initiated.
  • Fixed a user-reported PHP error that could occur when editing pages on specific site/server setups.
  • Fixed a bug that prevented WordPress native error messages from being hidden when the login URL had been changed.
  • Fixed a user-reported bug in which users were unable to reset their password even when the disallow password resets option was disabled on a multisite network.
  • Fixed an issue where the password recycling feature was not enforced on the WooCommerce password update form unless site-wide policies were active.
  • Fixed a scenario that caused users excluded from all password policies to be unable to initiate a password reset.
  • Fixed the aesthetics of the password policies list inside the LearnDash registration form.
  • Fixed a bug that could cause the „Reset password on next login” option to not be enforced correctly for some users.
  • „Restrict login based on email address or username only” now works as expected when enforced for certain roles – previously was only working as expected when used as a site-wide policy.
  • Fixed support for Easy Digital Downloads forms—now fully compatible with the latest version of Easy Digital Downloads.
  • Revisited all third party supported plugins and made small visual tweaks (alignment fixes, display errors etc).

• Known issue

  • Some settings might not be imported correctly via the Export/Import Feature of the plugin, and which will be addressed in the next update.

2.1.1 (2025-04-07)

• Poprawki błędów

  • Naprawiono lukę zgłoszoną przez Wordfence: brak autoryzacji prowadzący do nieuwierzytelnionego, arbitralnego usunięcia użytkownika.
  • Rozwiązano błąd interfejsu użytkownika w widoku kalendarza dla własnego filtra daty wygaśnięcia tymczasowych logowań.
  • Naprawiono błąd, który uniemożliwiał prawidłowe działanie funkcji „Ukryj natywne błędy WordPressa w formularzu logowania” po zmianie adresu URL logowania lub podczas pracy w sieci witryn (multisite).
  • Multisite: usunięto błędy PHP występujące podczas wykonywania niektórych zadań cron wtyczki.
  • Multisite: usunięto błąd, który powodował, że strona „Szablony powiadomień użytkownika” była ukryta w niektórych konfiguracjach witryny
  • Naprawiono błąd uniemożliwiający działanie funkcji „Zabroń starych haseł” w formularzach innych firm, chyba że „Zasady dotyczące haseł” są globalnie aktywne w ustawieniach wtyczki.
  • Naprawiono wewnętrzny konflikt wtyczki między funkcją „Zabroń starych haseł” a tymczasowymi loginami, który w niektórych skrajnych przypadkach mógł uniemożliwić tworzenie nowych tymczasowych loginów.

• Ulepszenia wtyczek

  • Users excluded from password policies are now also exempt from Security Questions enforcement.
  • Users with an expired password can now log in if the policy is disabled in the plugin settings.
  • Improved Temporary Logins UI with a more compact layout.
  • Strengthened security by adding additional nonce and capability checks across the plugin.

2.0.1 (2024-12-10)

Version 2.0.1 (2024-12-10) Maintenance update

• Nowe funkcje

  • Timed Logins: Users login token can now expire as close of business (optional)

    • Ulepszenia wtyczek
  • Różne ulepszenia interfejsu użytkownika i tekstu w obszarze zasad / resetowania wszystkich haseł

  • Polityki WP 2FA + nieznane urządzenia działają teraz harmonijnie, stosując się dopiero po przejściu 2FA

    • Poprawki błędów
  • Naprawiono błąd, który powodował, że wygasłe logowanie użytkownika było liczone jako niepowodzenie.
  • Naprawiono potencjalny błąd powodowany przez określone własne metody rejestracji bez hasła.
  • Naprawiono błąd, który uniemożliwiał odblokowanie wielu użytkowników jednocześnie
  • Poprawiono formatowanie szablonów wiadomości e-mail
  • Podsumowanie wiadomości e-mail: poprawiono „losowy” odczyt roku
  • Naprawiono kilka drobnych ostrzeżeń o przestarzałości wersji PHP.

2.0.0 (2024-11-05)

• Nowe funkcje

  • Security questions: require users to configure security questions that can be used to verify users when resetting passwords and unlocking user accounts, thus the website administrator does not need to be involved.
  • Unrecognized devices policy: users will be alerted via email each time there is a login with their username from a device that was not used before, and are also given the option to remotely log out that session.
  • Ustawienie ograniczenia adresu IP dla strony logowania: ogranicz dostęp do strony logowania za pomocą adresów IP.
  • Session cookies settings: configure the expiration time of the WordPress session cookies, including those used when the user checks the „Remember me” option in the login page.
  • Added the shortcode mls_user_password_expiry_notice so admins can add the password expiry notice on custom user portals etc.
  • Dodano hak mls_user_set_as_inactive, który może być użyty, gdy konto użytkownika jest wyłączone przez politykę nieaktywnych użytkowników.
  • Ustawienie ograniczające logowanie tylko za pomocą nazwy użytkownika lub adresu e-mail. Domyślnie możesz zalogować się do WordPress za pomocą dowolnego.
  • Nowa opcja w funkcji „Resetuj wszystkie hasła”, która wymaga od wszystkich użytkowników zmiany hasła przy następnym logowaniu, zamiast resetowania haseł wszystkich użytkowników i wysyłania im wiadomości e-mail. Jest to najczęściej używane dla użytkowników, którzy nie otrzymują / nie mogą otrzymywać wiadomości e-mail w celu zresetowania hasła.
  • Ustawienie wyłączające wbudowaną w WordPress automatyczną sugestię hasła podczas resetowania lub zmiany hasła.
  • Ustawienie w „Zasadach wygaśnięcia hasła”, aby skonfigurować, kiedy użytkownik powinien zostać powiadomiony o dacie wygaśnięcia hasła po odrzuceniu powiadomienia.
  • Added out-of-the-box support for Easy Digital Downloads and ProfilePress; enforce the login and password policies on these plugins’ forms with just one-click.
  • Dodano kolumnę „Czas ostatniego logowania” na stronie użytkowników, dając administratorowi łatwy przegląd aktywności logowania użytkowników.

• Ulepszenia wtyczek

  • Ogólne / ogólne aktualizacje i ulepszenia kodu – zapewnienie zgodności kodu ze standardami kodowania WordPress, dodanie komentarzy w razie potrzeby, ulepszone kontrole nonce i wiele więcej.
  • Zastosowano kilka aktualizacji kodowania, które skutkują zauważalnie lepszą ogólną wydajnością wtyczki i wykorzystaniem zasobów.
  • Każda polityka haseł może być teraz włączona / wyłączona indywidualnie, a nie wszystkie razem.
  • Zmieniono kolejność zasad w ustawieniach i pogrupowano zasady dotyczące haseł, kont użytkowników i logowania.
  • Zaktualizowano wszystkie przedrostki w kodzie wtyczki, a także w ustawieniach do MLS_. Dodano ręczny proces aktualizacji do obsługi aktualizacji.
  • Improved overall support for Paid Membership Pro.
  • Ujednolicono odstępy, rozmieszczenie tekstu pomocy i układ ustawień, aby interfejs użytkownika był bardziej jednolity i łatwy w użyciu.
  • Wszystkie wiadomości e-mail używane przez wtyczkę są teraz dostępne jako szablony, które można edytować.
  • Przeniesiono wszystkie funkcje wp_mail do jednej klasy emailer.
  • Dodano wartość domyślną do ustawienia powiadomienia o wygaśnięciu hasła.
  • Zaktualizowano kilka ciągów / tekstów pomocy we wtyczce w celu lepszego wyjaśnienia i wskazówek dla użytkowników.
  • Dodano domyślne powiadomienie, gdy wysyłanie linków do resetowania hasła jest wyłączone.
  • Updated the email and notifications templates section; separated the notifications from the email templates, making it much easier for the user to edit them.
  • Zaktualizowano domyślne szablony wiadomości e-mail i powiadomień.
  • Podnieśliśmy minimalną wersję PHP do 7.3.

• Poprawki błędów

  • Naprawiono sprawdzanie wygaśnięcia hasła – w niektórych przypadkach wtyczka wysyłała wiele wiadomości e-mail do użytkowników.
  • Poprawka: wykluczony użytkownik z rolą administratora nadal zablokowany z powodu zasad dotyczących nieaktywnych użytkowników.
  • Naprawiono: konflikt z wtyczką WP Engine MU – wtyczka WP Engine nie uwzględnia błędu, jeśli zostanie do niej przekazany, nawet jeśli hak zwraca zarówno WP_User, jak i WP_Error.
  • Naprawiono: wtyczka nie uwzględniała znaku kropki i innych znaków jako znaków specjalnych w hasłach (miała określoną zakodowaną listę).
  • Naprawiono: strona zablokowanych użytkowników nie wyświetlała się podczas korzystania z licencji planu Professional.
  • Naprawiono: powiadomienie administratora o aktualizacji nie wyświetlało się w środowisku sieci witryn (multisite).
  • Naprawiono: zgoda na stronie logowania / powiadomienie RODO wyświetla się na stronie logowania po migracji, nawet jeśli ustawienie jest wyłączone.
  • Naprawiono: cotygodniowe podsumowanie wiadomości e-mail informuje nowych użytkowników o zresetowaniu hasła.
  • Naprawiono przypadek brzegowy, w którym dopiero co odblokowany użytkownik nie mógł zalogować się do sieci multisite z powodu błędu zbyt wielu przekierowań.
  • Poprawka: zmiany w ustawieniach wielu polityk haseł nie były zapisywane, gdy jedna ze zmian polegała na ustawieniu minimalnej długości hasła na 5.
  • Naprawiono: nieudane próby logowania sumowały nieudane logowania wielu użytkowników, gdy logowali się oni z tego samego adresu IP, co skutkowało zablokowaniem kont, które nie powinny być zablokowane.
  • Naprawiono: kilka problemów z egzekwowaniem zasad dotyczących haseł na stronach WooCommerce, a także poprawiono logikę wyświetlania określonych powiadomień na stronach WooCommerce.
  • Naprawiono: funkcja historii haseł pozwalała na ponowne użycie niektórych starych haseł w niektórych przypadkach.
  • Naprawiono błąd krytyczny PHP w pliku class-optionshelper.php, który był powodowany podczas aktualizacji ze znacznie starszej wersji wtyczki do najnowszej.

Zapoznaj się z pełnym dziennikiem zmian wtyczki, aby uzyskać bardziej szczegółowe informacje o nowościach, ulepszeniach i poprawkach w poprzednich aktualizacjach wersji Bezpieczeństwo logowania Melapress.