Wer gemeinsame Dokumente selbst betreibt, fuerchtet weniger eine fehlende Funktion als den Tag, an dem ein Notizlink unter fremdem Namen geoeffnet wird. Genau diese Klasse von Problem schliesst HedgeDoc 1.12.2.

HedgeDoc ist ein quelloffener Markdown Editor fuer die Zusammenarbeit in Echtzeit, der im Browser laeuft und sich selbst aufstellen laesst. Bis 2020 hiess er CodiMD, dann erzwang eine Namensgleichheit die Umbenennung, und der Quelltext steht unter AGPL-3.0. Der Anspruch ist schlicht: einen Notizlink an eine Kollegin schicken, sie oeffnet ihn und schreibt mit, ohne zusaetzliches Programm, mit den Daten auf dem eigenen Server. Am 4. November 2026 kamen zwei Fehlerbehebungen kurz hintereinander, 1.12.1 und 1.12.2.

Zwei Fassungen an einem Tag, die erste wurde zurueckgezogen

Beide erschienen am 4. November, doch auf der Seite von 1.12.1 steht ein Hinweis: im Betrieb mit PostgreSQL traten Probleme auf, die Fassung wurde zurueckgezogen, bitte 1.12.2 verwenden. 1.12.2 selbst behebt nur einen Punkt, naemlich das Scheitern des Umzugs der Profilanbieter auf PostgreSQL. Wer also schon auf 1.12.1 steht und PostgreSQL betreibt, fuer den ist 1.12.2 keine Wahl, sondern Pflicht.

Wirklich Zeit verdient der Stapel an Sicherheitskorrekturen in 1.12.1. Er beantwortet sieben veroeffentlichte Hinweise und liegt auf den drei Ketten, an denen am leichtesten etwas schiefgeht: Rechte, Anmeldung und die Darstellung von Inhalten.

Was die sieben Hinweise reparieren

Der erste ist die Vortaeuschung einer Anmeldung. Wenn zwei Anmeldedienste dieselbe Profilkennung liefern, kann eine Identitaet fuer eine andere genommen werden. Das wiegt am schwersten auf eigenen Instanzen mit mehreren Diensten gleichzeitig, also genau dort, wo Verantwortliche ein Firmenverzeichnis und eine externe Anmeldung nebeneinander haengen.

Der zweite ist ein Absturz im Code der Zusammenarbeit in Echtzeit: eine einzige fehlerhafte Auswahl bringt den gemeinsamen Kanal zu Fall. Der dritte laesst die Ansicht fuer Folien einen Rahmen ohne Maskierung einbetten, was einen Weg fuer eingeschleuste Auszeichnung oeffnet. Der vierte betrifft Adressen von Mailpostfaechern: aus dem Unterschied der Antwortzeit laesst sich ablesen, ob eine Adresse auf der Instanz angemeldet ist, ein Lehrbuchfall eines Seitenkanals ueber die Zeit. Der fuenfte ist eine fehlende Durchsetzung von Rechten bei ungueltigen Rechten, der sechste eine Einschleusung ueber einen zurechtgelegten Anzeigenamen. Der siebte ist der deutlichste: jede angemeldete Person, die einen bestimmten Alias fuer eine Notiz waehlt, bringt die ganze Instanz zu Fall.

Der Text der Hinweise ergaenzt, dass mehrere weitere Moeglichkeiten zum Einschleusen im selben Zug geschlossen wurden. Fuer eine eigene Instanz ist das zusammen kein kleines Gewicht, denn die meisten brauchen keine Verwalterrechte; ein Konto genuegt, in einigen Faellen reicht die Faehigkeit, einen geteilten Link zu oeffnen.

Zwei kleine Zugaenge nebenbei

Auf der Seite der Funktionen gibt es nichts Grosses, zwei Aenderungen sind aber eine Erwaehnung wert. Eine neue Einstellung erlaubt es einem Dienst fuer OAuth2 oder OIDC, direkt eine Adresse fuer das Bild zu liefern, statt dass alles auf das erzeugte Standardbild zurueckfaellt, was Teams mit einer gemeinsamen Anmeldung merken. Die andere hebt mermaid auf 11.17, womit die Palette der Diagrammarten waechst. Beim Laufzeitgeruest gilt seit 1.12.0 mindestens Node 20.17, und ab 1.12.1 testet und unterstuetzt das Projekt offiziell auch Node 26, weshalb Aufstellungen auf einer aelteren Laufzeit den Wechsel einplanen sollten.

Was fuer ein Werkzeug das ist

Inhaltlich steckt die Arbeit in einer einzigen Sache, Markdown. Mehrere Personen bearbeiten dieselbe Notiz gleichzeitig und Aenderungen laufen mit, der Vortragsmodus macht aus einer Notiz direkt Folien, Flussdiagramme und andere Darstellungen sitzen in der Notiz, ein Auswahlfeld stellt die Sichtbarkeit auf oeffentlich, nur angemeldet oder bestimmte Personen, und der Verlauf zeichnet jede Aenderung auf und laesst die Rueckkehr zu jeder aelteren Fassung zu. Der Verbrauch an Mitteln ist bescheiden; laut Projekt laeuft es auch auf einer kleinen Platine, und sowohl ein Paket zur Aufstellung als auch Abbilder fuer Behaelter liegen bereit.

Konten lassen sich an OAuth2, LDAP und SAML anschliessen, und ausser lokalem Speicher sind auch Ablagen fuer Objekte vorgesehen. Der Sinn dieser Mischung: ein Team muss fuer ein gemeinsames Notizwerkzeug nicht ein zweites Kontensystem und eine zweite Insel von Daten unterhalten.

Zwei Dinge vor dem Wechsel

Zuerst die Datenbank sichern. Das Problem landete diesmal genau im Umzug auf PostgreSQL, und die Lehre aus 1.12.1 ist, dass der Weg des Wechsels selbst eine Falle tragen kann; eine Sicherung, zu der man zurueckkehren kann, ist mehr wert als jede Anleitung. Danach die Fassung der Laufzeit pruefen: Node 20.17 ist die Untergrenze, und alles darunter startet nach dem Wechsel nicht mehr.

Ob jetzt gewechselt werden sollte, hat eine einfache Probe. Steht die Instanz nach aussen offen, erlaubt sie Anmeldungen oder das Teilen von Notizen per Link, dann betreffen mindestens drei oder vier der sieben Hinweise direkt, also nicht warten. Laeuft sie nur im inneren Netz und nutzen sie nur wenige feste Personen, ist das Fenster kleiner, aber nicht klein genug, um es zu ignorieren.

Die beiden Fassungen bringen keine aufregende neue Funktion. Sie schliessen eine Reihe von Fenstern, die nicht richtig zu waren. Selbst betreiben heisst, die Daten in der Hand zu halten, und das ist auch der Preis: die Korrekturen muss man selbst einspielen.