-
Notifications
You must be signed in to change notification settings - Fork 13
Expand file tree
/
Copy pathChangeLog
More file actions
11446 lines (8861 loc) · 620 KB
/
ChangeLog
File metadata and controls
11446 lines (8861 loc) · 620 KB
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
685
686
687
688
689
690
691
692
693
694
695
696
697
698
699
700
701
702
703
704
705
706
707
708
709
710
711
712
713
714
715
716
717
718
719
720
721
722
723
724
725
726
727
728
729
730
731
732
733
734
735
736
737
738
739
740
741
742
743
744
745
746
747
748
749
750
751
752
753
754
755
756
757
758
759
760
761
762
763
764
765
766
767
768
769
770
771
772
773
774
775
776
777
778
779
780
781
782
783
784
785
786
787
788
789
790
791
792
793
794
795
796
797
798
799
800
801
802
803
804
805
806
807
808
809
810
811
812
813
814
815
816
817
818
819
820
821
822
823
824
825
826
827
828
829
830
831
832
833
834
835
836
837
838
839
840
841
842
843
844
845
846
847
848
849
850
851
852
853
854
855
856
857
858
859
860
861
862
863
864
865
866
867
868
869
870
871
872
873
874
875
876
877
878
879
880
881
882
883
884
885
886
887
888
889
890
891
892
893
894
895
896
897
898
899
900
901
902
903
904
905
906
907
908
909
910
911
912
913
914
915
916
917
918
919
920
921
922
923
924
925
926
927
928
929
930
931
932
933
934
935
936
937
938
939
940
941
942
943
944
945
946
947
948
949
950
951
952
953
954
955
956
957
958
959
960
961
962
963
964
965
966
967
968
969
970
971
972
973
974
975
976
977
978
979
980
981
982
983
984
985
986
987
988
989
990
991
992
993
994
995
996
997
998
999
1000
2026-04-03 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1745
Aggiunto supporto per connessioni Redis in modalità single-endpoint (Redis Enterprise con HA interna)
e per connessioni TLS con configurazione truststore e hostname verification.
Aggiornate librerie Redisson e dipendeze.
Nell'intervento sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2026-33870, CVE-2026-33871: aggiornata libreria 'io.netty:*' alla versione 4.2.12.Final
2026-03-31 Andrea Poli <apoli@link.it>
* [Utils, GovWayCore, GovWayConsole]
Risolto Bug #1744
Corretta la risoluzione degli alias YAML nelle specifiche OpenAPI che falliva per il limite di default di SnakeYAML (maxAliasesForCollections=50),
aumentando il valore a 500 e migliorando il messaggio di errore in caso di fallimento.
Aggiunta protezione contro attacchi "billion laughs" tramite controllo sulla dimensione del JSON prodotto dalla risoluzione degli alias.
2026-03-27 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Risolto Bug #1743
Corretta la visualizzazione dei grafici line e barchart nella console GovWayMonitor, che causava un blocco dell'applicazione a seguito di un NumberFormatException.
2026-03-27 Giuliano Pintori <pintori@link.it>
* [Utils, GovWayMonitor]
Aggiunta funzionalità #1735
Aggiornate librerie per la generazione dei pdf:
- org.apache.pdfbox:* alla versione 3.0.7
- com.github.dhorions:boxable alla versione 1.8.2
2026-03-26 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiornata documentazionne SignalHub per la pubblicazione di segnali.
Definita specifica OpenAPI.
2026-03-26 Andrea Poli <apoli@link.it>
* [Utils]
Risolto Bug #1742
Risolto un problema nel parsing degli URL LDAP senza porta esplicita nei CRL Distribution Point,
che causava il fallimento della validazione CRL con errore "Unsupported authority".
Nell'intervento è stata risolta anche l'anomalia nel recupero delle CRL via LDAP in cui gli attributi restituiti con suffisso ;binary non venivano correttamente individuati.
2026-03-24 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1740
(https://github.com/link-it/govway/issues/287)
Realizzate GovLet che facilitano la configurazione delle erogazioni previste dal SUE (https://github.com/AgID/SUE-allegato-tecnico).
2026-03-23 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1739
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2026-22732:
aggiornata libreria 'org.springframework.security:*' alla versione 6.5.9
aggiornata libreria 'org.springframework:*' alla versione 6.2.17
2026-03-20 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1737
Nella configurazione delle trasformazioni (HTTP Headers e Query Parameters),
la selezione delle operazioni "update" e "delete" dal menù "Operazione" non veniva recepita correttamente.
Il problema si presentava anche nel filtro per HTTP Method nelle liste risorse, dove la selezione del metodo "DELETE" non veniva applicata.
2026-03-20 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1734
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2026-23907: aggiornata libreria 'org.apache.pdfbox:*' alla versione 2.0.36
2026-03-20 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria, TimerStatistiche]
Risolto Bug
Risolto un problema di packaging del WAR per WildFly che impediva la corretta inizializzazione del descrittore di deployment jboss-deployment-structure.xml.
2026-03-13 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.4.2.p1
2026-03-11 Giuliano Pintori <pintori@link.it>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1731
È stata risolta un’anomalia che impediva l’utilizzo dei caratteri speciali |, < e altri nei campi password.
Nell’ambito dell’intervento, il meccanismo di escape HTML per i campi lock e crypt è stato riorganizzato e centralizzato a livello JSP,
al momento della visualizzazione, rimuovendolo dai Java Helper.
È ora consentito l’utilizzo dello spazio nei valori delle proprietà e nella password impiegata per l’autenticazione Basic dei connettori e delle token policy.
Sono state inoltre riviste le label delle token policy, così da renderle coerenti con l’introduzione del DPoP.
Infine, è stata corretta un’anomalia nella console che non consentiva di copiare le credenziali generate tramite l’apposito pulsante.
2026-03-10 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug #1728
Corretta la generazione del CSV di tracciamento PDND per aggregare correttamente le richieste con stesso (purpose_id, status, token_id) quando più riferimenti 'eventi_gestione' distinti
risolvono allo stesso codice HTTP, eliminando le righe duplicate segnalate con errore 'PURPOSE_AND_STATUS_AND_TOKEN_NOT_UNIQUE'.
2026-03-10 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità #1726
Aggiunta la possibilità di fornire i parametri per la pubblicazione dei segnali SignalHub anche tramite payload JSON,
oltre alle modalità già supportate tramite header HTTP e query parameter.
2026-03-09 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1732
Corretta la validazione del claim 'htu' del token DPoP (RFC 9449) in presenza di regole di proxy pass che riscrivono il contesto dell'URL di invocazione rimuovendo il soggetto:
l'URL ricostruita per il confronto ora utilizza correttamente il contesto riscritto dalla regola e il resource path della risorsa invocata.
2026-03-08 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- GHSA-72hv-8253-57qq: aggiornata libreria 'com.fasterxml.jackson.core:*' alla versione 2.21.1
2026-03-05 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA, GovWayConsole]
Risolto Bug #1730
Aggiunta token policy built-in 'PDND-DPoP' per semplificare la configurazione della validazione DPoP (RFC 9449)
nelle erogazioni con profilo ModI e generazione token di tipo 'Authorization PDND'.
Corretta la selezione delle token policy proposte nel controllo degli accessi in presenza di risorse
con configurazione DPoP mista (ereditata dall'API e ridefinita).
Corretta la configurazione del controllo degli accessi nella fruizione built-in 'api-pdnd-push-signals':
rimossa l'autorizzazione per richiedente, non applicabile in quanto la verifica viene delegata puntualmente all'eService che pubblica i segnali.
2026-03-05 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1729
Risolte anomalie nella gestione dei contatori distribuiti (Hazelcast e Redis):
- corretto riferimento stale al contatore 'activeRequests': aggiunta verifica cambio intervallo prima della lettura distribuita;
- aggiunta in PNCounter la gestione degli errori transitori Hazelcast (ConsistencyLostException, IllegalStateException, NoDataMemberInClusterException)
con retry su proxy locale e fallback a lastKnownValue.
Aggiornato RegexFilter log4j per filtrare anche i messaggi PNCounter gestiti dal codice applicativo.
2026-03-04 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1729
Risolte diverse anomalie presenti nella gestione dei contatori distribuiti (Hazelcast e Redis):
- corretto meccanismo di rotazione degli intervalli temporali: i nodi che non vincevano la competizione CAS al cambio di intervallo
non aggiornavano il riferimento locale al nuovo contatore, causando `DistributedObjectDestroyedException` permanente (Hazelcast)
o contatori stale (Redis) dopo il cleanup del contatore scaduto.
- Aggiunta protezione nell'END-PATH delle richieste in-flight (Hazelcast) per gestire contatori distrutti durante la transizione di intervallo,
evitando la propagazione dell'errore al chiamante.
- Introdotto fail-fast in `DatoAtomicLong` (Hazelcast) per contatori distrutti nel CP Subsystem:
il retry era inutile (name poisoning permanente) e causava ~4.5s di latenza e log massivi sul partition owner.
- Introdotta ottimizzazione sui contatori Redis (Redisson):
. introdotto fast-path locale con cache `lastKnownActiveRequestIntervalDate` per evitare round-trip Redis nel hot path;
. pre-check senza semaforo in `resetPolicyCounterForDate`;
. TTL asincrono (`forceApplyTTLAsync`, `applyTTLIfNeededAsync`) in `DatoRAtomicLong.compareAndSet` per non bloccare il thread dentro il semaforo;
. TTL specifico per activeRequestCounter con intervallo (`intervalloSecondi×3`, `renewTTLOnWrite=false`); operazione `getAsync` in `DatoRAtomicLong`.
- Il timer di cleanup dei contatori orfani Hazelcast non distrugge più i contatori di coordinamento (senza intervallo)
per policy temporaneamente inattive. Nel CP Subsystem un nome distrutto è permanentemente avvelenato e non può essere ricreato,
rendendo la policy inutilizzabile alla ripresa del traffico.
- Rinominata la proprietà `orphanedProxy.thresholdHours` in `orphanedProxy.threshold` con supporto per suffisso `h` (ore) e `m` (minuti)
per una configurazione più flessibile.
- Aggiunto filtro RegexFilter a livello appender nel log4j2 per sopprimere i messaggi "is already destroyed" loggati internamente da Hazelcast
sul partition owner, già gestiti dal codice applicativo.
2026-02-20 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.4.2
2026-02-18 Andrea Poli <apoli@link.it>
* [GovWayConsole, GovWayMonitor]
(https://github.com/link-it/govway/issues/280)
Nella configurazione delle console per l'integrazione con un authorization server OIDC/OAuth
è stato aggiunto il supporto per l'utilizzo di variabili d'ambiente nelle proprietà di login.
Inoltre è stata introdotta la possibilità di validare claim con valori di tipo array.
2026-02-18 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug #1724
Durante la generazione dei tracciati per un soggetto aggregatore si otteneva l'errore:
"Soggetto '-' non esistente nella configurazione PdndTracciamento (ricerca per aggregato)"
2026-02-16 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Aggiunta funzionalità #1723
Nella sezione Statistiche PDND Tracing, aggiunta la possibilità di effettuare il download del dettaglio degli errori e
migliorata la visualizzazione per errori di grandi dimensioni.
2026-02-16 Andrea Poli <apoli@link.it>
* [GovWayCore, ProtocolloModIPA]
Aggiunta funzionalità #1722
Aggiunta opzione per le API REST che implementano il pattern 'BULK_RESOURCE_REST'
che consente di preservare l'header Content-Length nelle risposte inoltrate al client,
necessario per il corretto funzionamento delle Range Requests (RFC 9110, Section 14).
2026-02-13 Tommaso Burlon <tommaso.burlon@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità #1720
Sono stati apportati dei miglioramenti prestazionali alla funzionalità di Tracing PDND.
2026-02-13 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità #1721
Aggiunta indicizzazione delle credenziali mittente (issuer, subject, client_id) estratte dal token ModI presente nell'header Authorization
quando l'API viene cofigurata con l'opzione "Generazione Token: Authorization ModI".
L'indicizzazione, attiva per default, è configurabile tramite proprietà globali e a livello di singola erogazione/fruizione.
2026-02-11 Tommaso Burlon <tommaso.burlon@link.it>
* [ProtocolloModIPA]
Risolto Bug #1717
Migliorato recupero del tracingId.
Adeguata gestione del parsing della risposta PDND per l'operazione di recovery.
2026-02-11 Tommaso Burlon <tommaso.burlon@link.it>
* [InstallerVersioneBinaria]
Aggiunta funzionalità #1708
Aggiunto supporto per wildfly 39.
2026-02-11 Andrea Poli <apoli@link.it>
* [GovWayCore, Documentazione]
Aggiunta funzionalità #1694
Aggiunta possibilità di disabilitare selettivamente l'indicizzazione delle credenziali mittente
(credenziali di autenticazione, token, indirizzo IP client, eventi, tag, API) a livello globale o per singola erogazione/fruizione,
consentendo di risparmiare risorse database per i tipi non utilizzati nelle ricerche dalla console di monitoraggio e dalle relative API.
Abilitato di default il dettaglio delle singole fasi nello slow log delle transazioni su database e
aggiunta la relativa documentazione nelle configurazioni avanzate del tracciamento.
2026-02-11 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1694
Aggiunta sanitizzazione delle porte negli indirizzi IP presenti negli header di trasporto (X-Forwarded-For e header analoghi)
al fine di evitare la moltiplicazione delle entry nella tabella 'credenziale_mittente'
dove viene salvato l'indirizzo per consentire la ricerca tramite indici.
Nell'occasione è stato aggiunto il supporto al parsing dell'header Forwarded (RFC 7239) con estrazione corretta dell'indirizzo IP dal parametro 'for='.
2026-02-10 Tommaso Burlon <tommaso.burlon@link.it>
* [TimerStatistiche]
Aggiunta funzionalità #1623
Nuova modalità di generazione statistiche tramite applicazione web.
Introdotta una modalità alternativa per il calcolo delle statistiche, che si affianca al batch esistente lanciabile via cron.
Il nuovo componente è un'applicazione web dispiegabile direttamente nell'application server,
che elimina la necessità di schedulazioni esterne semplificando la gestione operativa
in ambienti dove si preferisce mantenere tutti i servizi all'interno del medesimo application server.
2026-02-09 Andrea Poli <apoli@link.it>
* [ApiRsConfigurazione]
Risolto Bug #1715
Aggiunta gestione dei campi 'Key Id (kid) del Certificato' e 'Identificativo' nella configurazione della sicurezza messaggio della risposta per le erogazioni REST ModI.
2026-02-07 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1714
Risolto errore di persistenza delle transazioni su PostgreSQL/MySQL causato da null byte (0x00) presenti in risposte binarie che finivano nelle colonne TEXT del database.
Introdotta sanitizzazione dei null byte sulle colonne TEXT che possono contenere dati provenienti da input esterni.
Aggiunta troncatura configurabile dei messaggi di errore dei validatori REST/SOAP per limitare la dimensione dell'errore ritornato
quando il messaggio del validatore include il contenuto della richiesta/risposta.
Corretta deserializzazione delle transazioni salvate su filesystem in presenza di null byte nel contenuto.
2026-02-06 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Risolto Bug #1658
- Rimosso FusionCharts (Flash): eliminata completamente la libreria FusionCharts e tutti i file .swf,
già di fatto inutilizzati poiché abilitati solo su browser obsoleti,
migrando i grafici statistiche esclusivamente su SVG (D3/C3) e rimuovendo ogni logica condizionale Flash/SVG.
- Eliminato supporto IE11.
- Refactoring console Monitor: rimossi controlli browser obsoleti e proprietà inutilizzate; aggiornati CSS/JS heatmap.
2026-02-04 Tommaso Burlon <tommaso.burlon@link.it>
* [GovWayCore]
Aggiunta funzionalità #1702
Introdotta nuova modalità di sicurezza messaggio 'JWS Compact Payload Enrichment' che arricchisce il payload JSON con claims JWT standard (iss, aud, exp, iat, nbf, jti)
e lo firma in formato JWS Compact.
Supporta policy configurabili per gestire conflitti con claims esistenti (preserve/override/error) e filtro su codici HTTP per le risposte.
2026-02-03 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1712
Invocando un’erogazione o una fruizione con azione non riconosciuta, a fronte di una configurazione che prevede per i diagnostici un livello di severità 'all',
non si riscontra l’effettiva emissione dei diagnostici con severità debug.
2026-02-03 Andrea Poli <apoli@link.it>
* [ApiRsConfigurazione]
Risolto Bug #1711
(https://github.com/link-it/govway/issues/277)
Accedendo a erogazioni o fruizioni di API con sorgente token 'PDND' o 'OAuth' si otteneva il seguente errore:
"Property modipaSecurityMessageRestRequestX509Cert non trovata"
2026-02-01 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1710
L’esportazione di un’erogazione/fruizione che include una trasformazione REST, nella quale nella configurazione della richiesta non è specificato il metodo HTTP,
genera un pacchetto che non risulta reimportabile tramite console.
In fase di importazione del pacchetto esportato, la console segnala il seguente errore di validazione/sintassi:
cvc-complex-type.4: Attribute 'metodo' must appear on element 'ns2:trasformazione-rest'.
2026-02-01 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1678
Aggiunto il supporto completo per l'integrazione con le API di Interoperabilità PDND versione 2, promossa come versione predefinita per le nuove installazioni.
2026-01-30 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1709
Le sezioni relative al controllo degli accessi per le erogazioni e le fruizioni non risultano più richiudibili.
2026-01-29 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1707
Risolta anomalia che codificava come carattere speciale la dicitura '¬' nelle textarea.
Nell'intervento è stato riorganizzato il meccanismo di escape HTML, centralizzandolo nei JSP al momento della visualizzazione e rimuovendolo dai Java Helper,
con correzione del Validatore per evitare che Jsoup interpreti erroneamente le entità HTML incomplete.
2026-01-27 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #171
Risolte anomalie che rendevano non utilizzabili le chiavi EC con algoritmi ES* nelle Token Policy e nell’Attribute Authority.
2026-01-27 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Risolto Bug #1706
Risolto blocco della console di monitoraggio durante l’esecuzione del flusso Login → Navigazione → Logout → Login → Navigazione,
causato da un errore di Content Security Policy (CSP).
2026-01-21 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1704
Corretta un’anomalia in contesto multi-tenant nella gestione delle fruizioni verso la stessa API:
in fase di creazione di una nuova fruizione da parte di un secondo utente gestore,
venivano erroneamente riportate le utenze della fruizione precedentemente creata da un altro utente.
Inoltre, la modifica della nuova fruizione poteva propagare in modo errato l’utenza dell’ultima modifica anche alla fruizione originale.
Infine, corretta un’anomalia che, durante un’operazione di importazione, riportava erroneamente nella nuova base dati le utenze e le date presenti negli archivi.
2026-01-19 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #171
Verificato utilizzo chiavi EC per supporto DPoP e gestione token OAuth2.
2026-01-16 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1701
Corretto path hard-coded nella pagina index.html per consentire il deploy con context path personalizzati.
2026-01-15 Andrea Poli <apoli@link.it>
* [GovWayCore, GovWayConsole]
Risolto Bug #1703
Sono stati effettuati i seguenti interventi nel core:
- Aggiunta gestione a intervalli temporali per i contatori delle richieste simultanee in ambienti distribuiti (Hazelcast/Redis).
Previene contatori "zombie" quando una JVM termina in modo anomalo (crash, kill -9, OOM).
- [Hazelcast] Aggiunto registry IMap per tracciare i contatori del CP Subsystem (AtomicLong/AtomicLongAsync), necessario per il cleanup dei contatori orfani,
poiché gli oggetti CP non sono enumerabili.
- [Hazelcast] Aggiornato timer di cleanup per rimozione automatica dei contatori orfani (proxy non più utilizzati) migliorando anche i log forniti.
- Corretta gestione del decremento contatori al termine della richiesta per evitare valori negativi in caso di cambio intervallo durante l'elaborazione,
sia per le policy di rate limiting che per il controllo richieste simultanee globali.
Inoltre sono state corrette le seguenti anomalie nella console di gestione:
- Corretto il filtro nella lista delle policy attivate per gestire anche la tipologia 'richieste simultanee' che non veniva correttamente visualizzata una volta creata.
- Corretto reset automatico dei valori di 'Misurazione' e 'Algoritmo' nelle opzioni avanzate di Rate Limiting quando non sono più compatibili con l'implementazione selezionata.
2026-01-12 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug #1700
Aggiunta compatibilità con l'opzione Tomcat STRICT_SERVLET_COMPLIANCE:
le classi MockHttpServletRequest e MockHttpServletResponse estendono ora i rispettivi wrapper (HttpServletRequestWrapper/HttpServletResponseWrapper)
per soddisfare le verifiche SRV.8.2 e SRV.14.2.5.1 durante l'uso di RequestDispatcher.forward() utilizzato dalla funzionalità di pseudoanonimizzazione degli id in SignalHub
2026-01-08 Tommaso Burlon <tommaso.burlon@link.it>
* [GovWayCore, GovWayConsole, GovWayMonitor]
Risolto Bug #1700
Aggiornato il descriptor web.xml dalla versione 2.5 alla 3.1 e corretto l'ordine degli elementi XML
per garantire la compatibilità con l'opzione Tomcat '-Dorg.apache.catalina.STRICT_SERVLET_COMPLIANCE=true'
2026-01-08 Tommaso Burlon <tommaso.burlon@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità #1677
Miglioramento della funzionalità SignalHub con aggiunta del supporto per la configurazione senza pseudoanonimizzazione nelle erogazioni
e relativi aggiornamenti a console, API REST e documentazione.
2026-01-06 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1699
Corretta problematica presente nella funzionalità di export che generava una risposta con codice http 302 con URL eccessivamente lungo;
gli oggetti da esportare vengono ora salvati in sessione invece che nella query string.
2026-01-06 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug
(https://github.com/link-it/govway/issues/272)
Corretta anomalia che si presentava durante la modifica del nome di un soggetto quando il codice IPA generato dall'installer (senza /) differiva da quello calcolato di default (con /).
2026-01-06 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2025-67735: aggiornata libreria 'io.netty:*' alla versione 4.2.9.Final
2026-01-05 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunto timer periodico per la pulizia dei proxy Hazelcast orfani (contatori di intervalli di rate limiting terminati)
2025-12-28 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2025-68161: aggiornata libreria 'org.apache.logging.log4j:*' alla versione 2.25.3
2025-12-23 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug
Il testo dei tooltip che contenevano un ritorno a capo veniva visualizzato in modo errato, mostrando la sequenza ' '.
2025-12-23 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #171
Implementato supporto DPoP (Demonstrating Proof of Possession) per token OAuth2.
Aggiunta validazione del proof-of-possession tramite token DPoP nelle policy di validazione token,
con protezione anti-replay basata su JTI tramite cache locale (Caffeine) o distribuita (Redis).
Supportata la negoziazione di token DPoP-bound verso Authorization Server, con generazione automatica del proof JWT e gestione della chiave pubblica (jwk) nell'header.
Implementato inoltre l'invio del DPoP proof verso il backend in fase di fruizione.
2025-12-09 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1696
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2025-66453: aggiornata libreria 'org.mozilla:rhino' alla versione 1.8.1
2025-12-05 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Risolto Bug #1695
(https://github.com/link-it/govway/issues/269)
Corretto il flusso di autenticazione OIDC nella console,
evitando la validazione dei campi del login locale quando entrambe le modalità di autenticazione (locale e OIDC) sono abilitate.
2025-12-05 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Aggiunta funzionalità #1680
Introdotta gestione delle variabili GOVWAY_CONF, GOVWAY_LOG, GOVWAY_DB_TYPE e GOVWAY_DEFAULT_ENTITY_NAME
2025-12-02 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1693
Aggiunto supporto per la configurazione di un TTL (Time To Live) sui contatori Redis utilizzati nel rate limiting distribuito,
consentendo la pulizia automatica dei contatori relativi a client non più attivi.
2025-11-26 Andrea Poli <apoli@link.it>
* [BatchStatistiche]
Risolto Bug #1692
Ottimizzata la fase 0 del batch statistiche aggiungendo un limite inferiore sulla data, evitando la scansione di tutte le partizioni.
2025-11-25 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1691
Aggiornata la gestione delle govlet SUAP: risolto un problema di validazione delle richieste nel servizio ET-to-BO
che impediva il corretto riconoscimento dell’evento cdss_convened, dovuto a una definizione incoerente del campo event nella specifica OpenAPI.
2025-11-24 Andrea Poli <apoli@link.it>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1690
Corrette segnalazioni vulnerabilità rilevate da SonarQube v25.11.0.114957 su alcune pagine xhtml, js e jsp.
2025-11-20 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1688
Introdotta gestione delle eccezioni 'TargetNotMemberException' e 'MemberLeftException' durante le operazioni effettuate sui contatori distribuiti nel rate limiting.
2025-11-19 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1687
Nella validazione di un token JWT tramite token policy, è ora possibile sovrascrivere l'intervallo temporale di validità del claim 'iat' definito a livello globale.
2025-11-18 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1686
Corretta un’anomalia che impediva l’abilitazione/disabilitazione dei timer di generazione e pubblicazione del tracciamento PDND dalla console.
2025-11-18 Andrea Poli <apoli@link.it>
* [ApiRsConfigurazione]
Risolto Bug #1685
Effettuando la registrazione di un applicativo ModI con coppia di chiavi nel keystore e utilizzandolo per la fruizione di una API,
la cui token policy è configurata per utilizzare le chiavi dell'applicativo, si ottiene l'errore:
"Il tipo di keystore indicato nella token policy 'api-pdnd-attestazione' non è utilizzabile: Property [modipaKeystoreKeyPairAlgo] not found"
L'errore non si verifica se la configurazione viene effettuata tramite console.
2025-11-17 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1684
Risolta eccezione "UniqueIdentifierManager.newID() non riuscita" causata da InterruptedException dopo timeout di acquisizione semaforo.
Introdotta eccezione dedicata 'SemaphoreTimeoutException' che preserva lo stato del thread, permettendo la corretta generazione di ID univoci in scenari di alta contesa delle risorse.
2025-11-17 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1683
Corrette segnalazioni vulnerabilità rilevate da SpotBugs 4.9.8
2025-11-14 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.4.1.p1
2025-11-11 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Aggiornati script SQL per compatibilità con MySQL 8.0+ (rimosso sql_mode 'NO_AUTO_CREATE_USER')
2025-11-07 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1681
Risolte segnalazioni 'A form label must be associated with a control.' di SonarQube sulla pagina jsp 'edit-page.jsp'
2025-11-05 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Risolto Bug #1676
(https://github.com/link-it/govway/issues/261)
È stata corretta un’anomalia che impediva il corretto funzionamento della console.
Il problema era dovuto alla presenza di un doppio carattere “//” all’interno dei riferimenti di alcune risorse,
che causava il malfunzionamento dell’applicazione nel caso in cui l’ingress posto davanti alla console eseguisse l’operazione di merge slash.
Tale comportamento provocava errori JavaScript che rendevano la webapp inutilizzabile, impedendo l’accesso alla schermata di login.
2025-11-04 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1673
Risolto un problema che impediva la corretta visualizzazione delle schede di dettaglio
quando la descrizione dell'elemento conteneva contenuti HTML.
Ora il campo descrizione viene correttamente gestito tramite escape HTML in fase di lettura.
2025-11-04 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Risolto Bug #1675
Corretta generazione dello script SQL 'GovWayTracciamento.sql' che,
nella modalità di installazione avanzata con database dedicato al tracciamento,
non includeva la creazione della tabella 'OP2_SEMAPHORE'.
2025-11-03 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1674
Risolta anomalia che impediva l’utilizzo della keyword 'securityToken' nelle trasformazioni di risposta
per API configurate esclusivamente con la negoziazione token, senza pattern di sicurezza aggiuntivi.
2025-10-31 Andrea Poli <apoli@link.it>
* [ApiRsConfigurazione]
Risolto Bug #1672
Corretto il comportamento della risorsa /api-config/v1/soggetti/{nome} che non restituiva risultati per i soggetti privi di autenticazione configurata.
2025-10-31 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1671
Aggiornata la gestione delle govlet SUAP: l’indicazione del soggetto nella sezione audience e nel connettore dell’erogazione esterna
è ora impostata dinamicamente in base al soggetto specificato durante il caricamento della govlet (rimosso il valore cablato "ENTE").
2025-10-31 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.4.1
2025-10-30 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1670
I caratteri accentati inseriti nelle aree di testo non venivano salvati correttamente.
2025-10-29 Andrea Poli <apoli@link.it>
* [ApiRsConfigurazione]
Risolto Bug #1668
Aggiunto supporto alle API di configurazione per truststore e keystore di tipo 'jwk' e per keystore di tipo 'key pair' nella configurazione di applicativi, erogazioni e fruizioni ModI.
2025-10-28 Giuliano Pintori <pintori@link.it>
* [GovWayMonitor]
Aggiunta funzionalità #1666
Aggiunto il contesto pubblico 'check', utilizzabile come 'health check' negli ambienti di gestione (manager) in cui non è distribuita la componente runtime.
2025-10-28 Andrea Poli <apoli@link.it>
* [ProtocolloSDI]
Aggiunta funzionalità #1667
(https://github.com/link-it/govway/issues/214)
In caso di errore di comunicazione con il backend (ad esempio per read timeout), il sistema restituisce comunque l’header HTTP 'GovWay-SDI-NomeFile',
contenente il nome del file della fattura inviata.
In questo modo è possibile identificare correttamente il nome del file associato alla fattura, anche in presenza di errori di comunicazione.
2025-10-28 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug
Risolta anomalia che rendeva inutilizzabile l'utilizzo della validazione dei contenuti con la libreria 'swagger_request_validator' su wildfly.
Nei log veniva riportato il seguente errore:
Caused by: java.lang.NoClassDefFoundError: Could not initialize class com.github.fge.jsonschema.core.util.RegexECMA
...
Caused by: java.lang.ExceptionInInitializerError: Exception java.lang.NoClassDefFoundError: jdk/dynalink/Namespace
2025-10-27 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Aggiunta funzionalità #1642
Aggiunto supporto per wildfly 37 e 38.
2025-10-25 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1665
Risolto un problema che impediva l’accesso alla console dopo la disabilitazione e successiva riabilitazione dell’opzione Log4j Auditing.
In tali condizioni, il log riportava l’errore:
"Inizializzazione appender[log4jAppender] non riuscita: InputStream [audit.log4j2.properties] non trovato".
2025-10-24 Tommaso Burlon <tommaso.burlon@link.it>
* [Utils]
Risolto Bug #1664
Corretto errore di inizializzazione degli schemi XSD ("Cannot resolve the name '... to a(n) type definition component")
dovuto alla presenza di inclusioni circolari tra file XSD.
2025-10-23 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Aggiunta funzionalità #1638
Introdotta procedura di svecchiamento per db MySQL
2025-10-22 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1627
Migliorata la gestione delle informazioni sensibili nel report di auditing quando la funzionalità BYOK non è attiva.
2025-10-21 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1612
Introdotta gestione tramite semaforo su database per coordinare i timer di recupero delle tracce tra più nodi in ambiente cluster,
consentendo l'utilizzo sicuro di un volume persistente condiviso per il failover del tracciamento.
Aggiunta documentazione sulla configurazione del tracciamento, sul processo di failover e sui requisiti di spazio disco, con particolare attenzione agli ambienti cloud orchestrati.
I file delle tracce salvati su filesystem contengono ora nel nome un UUID che ne garantisce l’univocità.
2025-10-20 Andrea Poli <apoli@link.it>
* [BatchStatistiche]
Risolto Bug #1660
Migliorato il calcolo della latenza totale nelle aggregazioni statistiche:
- ora viene calcolata anche per le transazioni prive delle date di consegna al backend (data_uscita_richiesta e data_ingresso_risposta), aumentando la copertura e la precisione delle metriche;
- corretta la formula di calcolo delle latenze medie per escludere dal denominatore le richieste con latenza non disponibile (NULL o -1),
eliminando la sottostima sistematica precedentemente causata da transazioni con esiti di errore e timestamp incompleti.
2025-10-20 Andrea Poli <apoli@link.it>
* [BatchStatistiche]
Aggiunta funzionalità #1663
Introdotto stato_record=3 per record statistici dell'intervallo corrente (vs stato=1 per intervalli passati).
Aggiunta configurabilità dei criteri di raggruppamento, tramite proprietà '*.groupBy.<campo>', per ottimizzare la cardinalità delle aggregazioni.
Rivisto lo script di inizializzazione della tabella transazioni_esiti per associare alla colonna govway_status_class il numero della classe anziché l’identificativo della tabella di riferimento.
2025-10-17 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1662
Corretta la gestione della codifica dei caratteri speciali [ e ] nelle query string delle URL.
In precedenza, GovWay applicava una doppia codifica ai parametri contenenti questi caratteri (es. test%5B%5D → test%255B%255D),
causando errori di interpretazione lato applicativo.
2025-10-15 Giuliano Pintori <pintori@link.it>
* [GovWayConsole, GovWayMonitor]
Aggiunta funzionalità #1618
Aggiunto il supporto per l’integrazione delle console con un authorization server conforme agli standard OpenID Connect (OIDC) e OAuth 2.0.
2025-10-13 Tommaso Burlon <tommaso.burlon@link.it>
* [CliTemplateScan]
Aggiunta funzionalità #1645
Aggiunto il tool 'govway-template-scan', che consente di eseguire una scansione della base dati di configurazione dei template caricati,
al fine di individuare la presenza di una specifica keyword.
Questo strumento risulta particolarmente utile, ad esempio per identificare tramite la keyword "commons.lang.",
i template che fanno uso della libreria commons-lang, non più inclusa negli archivi a partire dalle versioni 3.4.1.
2025-10-13 Andrea Poli <apoli@link.it>
* [GovWayCore, Utils]
Risolto Bug #1661
Risolta una problematica che impediva l’utilizzo delle proprietà Java http.proxy* e https.proxy* nella nuova libreria HttpCore, impiegata come client HTTP dal gateway.
2025-10-13 Tommaso Burlon <tommaso.burlon@link.it>
* [GovWayCore, Utils]
Aggiunta funzionalità #1622
Tutti gli accessi HTTP verso risorse esterne (ad esempio per la negoziazione dei token, l’introspezione dei token, ecc.)
vengono adesso gestiti tramite la libreria Apache HttpClient 5 (org.apache.hc.client5).
2025-10-10 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1659
Aggiunta la possibilità di specificare l’elemento 'AuthnContextDeclRef', all’interno di una 'AuthnStatement',
nella sezione SAML generata tramite la funzionalità di sicurezza messaggio 'WS-Security SAML Token'.
2025-10-07 Andrea Poli <apoli@link.it>
* [ApiRsMonitoraggio, ApiRsConfigurazione]
Risolto Bug #1656
È stata risolta la seguente vulnerabilità relativa alle API di gestione e monitoraggio:
- CWE-307 (Brute Force)
2025-10-06 Giuliano Pintori <pintori@link.it>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1657
È stata risolte la seguente vulnerabilità relativa alle console di gestione e monitoraggio:
- CWE-200 (Information Exposure): esposizione delle Versioni delle Librerie Frontend
2025-10-06 Giuliano Pintori <pintori@link.it>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1656
Sono state risolte le seguenti vulnerabilità relative alle console di gestione e monitoraggio:
- CWE-307 (Brute Force)
- CWE-384 (Session Fixation)
2025-09-30 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1654
Durante il tentativo di modifica della descrizione o del tag di un’API, l’operazione falliva restituendo l’errore: 'Dati incompleti. È necessario indicare un nome'.
2025-09-30 Andrea Poli <apoli@link.it>
* [ApiRsMonitoraggio]
Risolto Bug #1655
Nelle API di monitoraggio, qualora una transazione includa esclusivamente gli header HTTP della chiamata senza il relativo payload,
la risorsa /monitoraggio/transazioni/{id} non restituiva tali header.
2025-09-24 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1646
Realizzate GovLet che facilitano la configurazione delle erogazioni previste dalla certificazione SUAP.
2025-09-22 Giuliano Pintori <pintori@link.it>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1652
(https://github.com/link-it/govway/issues/249)
(https://github.com/link-it/govway/issues/250)
Nella migrazione alla versione 3.4.0 è stato risolto un problema che impediva:
- l’autenticazione alle console per le utenze con password contenenti i caratteri & # % ^ < >;
- la registrazione di nuovi utenti con password che includessero uno di questi caratteri.
2025-09-18 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1644
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2025-41249: aggiornata libreria 'org.springframework:*' alla versione 6.2.11
- CVE-2025-41248: aggiornata libreria 'org.springframework.security:* alla versione 6.5.5
2025-09-18 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità #1651
Nella funzionalità di 'Tracing PDND' è stata aggiunta la possibilità di accorpare in un unico record, prima della pubblicazione,
le informazioni statistiche di più soggetti operativi al fine di supportare scenari in cui più soggetti non corrispondano ciascuno a un ente diverso registrato sulla PDND.
2025-09-17 Giuliano Pintori <pintori@link.it>
* [GovWayConsole]
Risolto Bug #1650
(https://github.com/link-it/govway/issues/244)
Nel controllo degli accessi, le configurazioni di autorizzazione per token claims o contenuti con più controlli su più righe venivano salvate su una sola riga.
Il comportamento anomalo è stato corretto.
2025-09-15 Andrea Poli <apoli@link.it>
* [Utils, ProtocolloModIPA]
Risolto Bug #1649
(https://github.com/link-it/govway/issues/233)
Normalizzato l’header `Content-Type` nelle richieste `multipart/form-data` (sostituzione di eventuali HTAB con SP negli OWS attorno a `;` e tra tipo e `boundary`).
In alcuni ambienti, dove l’application server non normalizzava gli header HTTP, la pubblicazione dei record falliva con:
[{"code":"BAD_REQUEST_ERROR","detail":"Validation error: Required at \"file\""},
{"code":"BAD_REQUEST_ERROR","detail":"Validation error: Required at \"date\""}]
L'errore avveniva a causa della presenza di tab nel `Content-Type`, non accettati dal server PDND di Tracing.
2025-09-12 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2025-55163, CVE-2025-58057 e CVE-2025-58056: aggiornata libreria 'io.netty:*' alla versione 4.1.127.Final
2025-09-11 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Aggiunta funzionalità #1647
Aggiunto supporto all'integrazione delle api di interoperabilità v2 per:
- recupero delle chiavi: utilizzo delle risorse 'GET /keys/{kid}' per le chiavi client e 'GET /producerKeys/{kid}/' per le chiavi server;
- recupero delle informazioni del client e dell'organizzazione: utilizzo delle risorse 'GET /clients/{clientId}' e 'GET /tenants/{tenantId}'
2025-09-09 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1648
Corretto un comportamento anomalo nel plugin di formattazione errori per il canale SUAP, per il caso di errore ERROR_428_001.
La richiesta generata dalla suite di test BB verso la risorsa /instance/{cui_uuid}/document/{resource_id} non presenta volutamente l'header 'If-Match' definito come obbligatorio nell'interfaccia OpenAPI.
In tali casi, GovWay restituiva erroneamente la risposta "ERROR_400_001 / incorrect request input", mentre la testsuite SUAP si attendeva il messaggio "ERROR_428_001 / hash not found".
L'errore è stato allineato alla risposta prevista, in conformità alle specifiche SUAP.
2025-08-26 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1644
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2025-8916: aggiornata libreria 'org.bouncycastle:*' alla versione 1.81
- CVE-2025-4949: aggiornata libreria 'org.eclipse.jgit:org.eclipse.jgit' alla versione 7.3.0.202506031305-r
- CVE-2025-48913: aggiornata libreria 'org.apache.cxf:*' alla versione 3.6.8 (3.3.x) e alla versione 4.1.3 (3.4.x)
- CVE-2025-41242: aggiornata libreria 'org.springframework:*' alla versione 6.2.10 (3.4.x)
- CVE-2025-7962: aggiornata libreria 'org.eclipse.angus:angus-mail' alla versione 2.0.4
2025-08-25 Tommaso Burlon <tommaso.burlon@link.it>
* [GovWayCore]
Risolto Bug #1632
Risolta la seguente vulnerabilità relative ai jar di terza parte:
- CVE-2025-48924: sostituita la dipendenza 'commons-lang:commons-lang' con 'org.apache.commons:commons-lang3'
2025-08-05 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug #1643
In presenza di un pattern di tipo INTEGRITY, la configurazione predefinita di GovWay prevede l'utilizzo dell’identificativo del token di integrità come identificativo del messaggio.
Tuttavia, poiché il report di tracciamento PDND si basava sull’identificativo del messaggio,
tale configurazione comportava l’inserimento nel report di un identificativo non corrispondente al JTI del voucher, ovvero un valore non generato dalla PDND stessa.
L’anomalia è stata risolta introducendo il tracciamento esplicito dell’identificativo del token, che viene ora correttamente utilizzato nella generazione del file CSV per il tracciamento PDND.
2025-08-05 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA, GovWayMonitor, ApiRsMonitoraggio]
Aggiunta funzionalità #1643
È adesso possibile effettuare ricerche nello storico delle transazioni tramite l'identificativo del token Authorization (jti).
Nel dettaglio di una transazione, nella sezione 'Informazioni Mittente', viene adesso visualizzato anche l'identificativo del token.
2025-08-04 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1628
Corretto un comportamento anomalo nel plugin di formattazione errori per il canale SUAP, in cui l’header HTTP Authorization veniva valorizzato con il solo JWT, senza il prefisso Bearer.
In tali casi, GovWay restituiva erroneamente la risposta "PDND token not found", mentre la testsuite SUAP si attendeva il messaggio "Invalid PDND token".
L'errore è stato allineato alla risposta prevista, in conformità alle specifiche SUAP.
2025-07-28 Giuliano Pintori <pintori@link.it>
* [GovWayConsole, GovWayMonitor]
Risolto Bug #1641
Risolta anomalia che non consentiva di aggiornare una Token Policy inserendo un valore dinamico contenente caratteri '{' o '}' (es. nel campo purposeId).
L'applicazione restituiva un errore che segnalava la mancata valorizzazione obbligatoria del campo, come se il valore non fosse stato inserito.
2025-07-25 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1640
Nei report CSV/XLS generati tramite la funzionalità 'Reportistica - Configurazione API',
per le erogazioni con profilo di interoperabilità ModI tramite PDND,
la colonna 'Autorizzazione Token (Applicativi Autorizzati)' non risultava valorizzata.
2025-07-24 Giuliano Pintori <pintori@link.it>
* [Utils]
Aggiunta funzionalità #1637
È stato introdotto il supporto per l’invio di email tramite la libreria 'Jakarta Mail'.
2025-07-23 Andrea Poli <apoli@link.it>
* [GovWayCore]
Aggiunta funzionalità #1636
Il canale NIO supporta ora la gestione di chiamate in modalità SSE (Server-Sent Events),
che consentono al server di inviare eventi in streaming verso il client tramite una connessione long-lived identificata dal Content-Type text/event-stream.
Contestualmente, la gestione del canale NIO è stata ottimizzata introducendo l’utilizzo di virtual threads per lo streaming sia della richiesta che della risposta.
2025-07-22 Tommaso Burlon <tommaso.burlon@link.it>
* [ApiRsConfigurazione]
Risolto Bug #1633
La registrazione di un servizio applicativo nel controllo accessi di un’erogazione,
tramite l’endpoint '/erogazioni/{nome_erogazione}/{versione_erogazione}/configurazioni/controllo-accessi/autorizzazione/token/applicativi'
risultava troppo restrittiva rispetto alla console di gestione 'govwayConsole'.
In particolare, con la seguente configurazione:
- API di tipo ModI con generazione token di tipo PDND
- Servizio applicativo client esterno di tipo ModI con sicurezza messaggio Authorization PDND
la registrazione falliva via API, mentre tramite console avveniva correttamente.
È stata quindi allineata la logica di validazione dell’API di configurazione a quella della console di amministrazione, consentendo la corretta registrazione dei servizi applicativi esterni di tipo ModI con sicurezza PDND.
2025-07-21 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug #1635
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte per la versione 3.3.x:
- CVE-2025-48795: aggiornata libreria 'org.apache.cxf:*' alla versione 3.6.7
- CVE-2025-31672: aggiornata libreria 'org.apache.poi:poi' alla versione 5.4.1
2025-07-16 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.4.0
2025-07-14 Andrea Poli <apoli@link.it>
* [GovWayCore]
Risolto Bug
Sono state risolte le seguenti vulnerabilità relative ai jar di terza parte:
- CVE-2025-53864: aggiornate libreria 'com.nimbusds:nimbus-jose-jwt' alla versione 10.3.1
- CVE-2025-48924: aggiornate libreria 'org.apache.commons:commons-lang3' alla versione 3.18.0
2025-07-13 Andrea Poli <apoli@link.it>
* [ProtocolloModIPA]
Risolto Bug
È stato rilasciato un adeguamento al controllo relativo alla presenza del claim 'nbf', precedentemente applicato in modo troppo stringente a tutte le erogazioni con profilo di interoperabilità ModI.
Con la nuova logica, la presenza obbligatoria del claim nbf è richiesta esclusivamente per le erogazioni ModI veicolate tramite la piattaforma PDND.
2025-07-12 Andrea Poli <apoli@link.it>
* [InstallerVersioneBinaria]
Risolto Bug
Nel caso di utilizzo dell’installer in modalità avanzata, con base dati dedicata alle informazioni statistiche, sono state rilevate le seguenti anomalie nelle patch di aggiornamento da versioni precedenti:
- l'aggiunta della colonna id nella tabella statistiche risultava inclusa erroneamente nello script SQL relativo alle tracce, anziché in quello dedicato alla base dati statistica;
- le inizializzazioni dei semafori per la generazione delle statistiche erano presenti nello script SQL relativo alle configurazioni, anziché in quello dedicato alla base dati statistica.
Tale errata inizializzazione dei semafori poteva comportare malfunzionamenti nella generazione delle statistiche,
in particolare nelle installazioni in cui la gestione delle statistiche avviene direttamente sul nodo run, anziché tramite il modulo batch.
2025-07-11 Andrea Poli <apoli@link.it>
* Rilasciata versione 3.3.17
2025-07-07 Andrea Poli <apoli@link.it>
* [GovWayConsole]
Risolto Bug #1631
È stato corretto un malfunzionamento relativo alla creazione di un utente amministratore in ambiente single-tenant con successiva abilitazione dei flag DR.
Sebbene il sistema impedisse correttamente la selezione dei soggetti (non previsti in modalità single-tenant),
l'utenza creata nella base dati risultava non conforme e non era utilizzabile per l’accesso alla console di monitoraggio.
Contestualmente, è stato risolto anche un problema di paginazione: durante la creazione di un nuovo oggetto,
se l’utente si trovava su una pagina successiva alla prima all’interno di una lista paginata, l’interfaccia presentava comportamenti anomali.
2025-07-07 Andrea Poli <apoli@link.it>
* [GovWayConsole]