Klartext.

Seit gestern ist Joomla in der Version 1.0.8 verfügbar. Ein kurzer Rundblick durch das Joomla-Forum ergibt folgende bestätigte Probleme mit dieser Version:

• Nach dem Einloggen im Frontend erscheint statt des Benutzernamens eine Null. Thread zum Problem, mit Fix 
• Links, die mit "mailto:" oder "javascript:" beginnen, werden durch fälschliches Voranstellen der Domain zerstört. Thread zum Problem, bisher kein Fix. Workaround: includes/sef.php aus Version 1.0.7 benutzen
• Dropdown-Liste in der Kontakt-Komponente ist leer. Thread zum Problem, ein Fix ist hier.
• Auf IIS leitet das Login-Modul nach dem Einloggen auf "http://Domainname/https://Domainname" um. Fix hier.
• Bridges zu Drittkomponenten wie z.B. dem SMF-Forum arbeiten nicht mehr -  wie von den Entwicklern bereits vor einiger Zeit angekündigt. Wer eine solche Bridge betreibt, sollte beim jeweiligen Entwickler nachsehen, ob es eine neue Version für Joomla 1.0.8 gibt.
• Der Editor mosCE funktioniert in den Versionen 1.0.3 und 1.0.4 nach dem Update nicht mehr. Wie Ryan Demmer hier schreibt, wird jedoch voraussichtlich am 2. März der neue JCE freigegeben, der dieses und andere Probleme beheben soll und mosCE ablösen wird.

Aber es gibt auch Positives zu vermelden:

• Neben den angekündigten Neuerungen bezüglich Session-Management und SEF hat die Performance einen ungeheuren Schub erfahren. Die Datenbankabfragen wurden deutlich optimiert. Joomla ist dadurch erheblich schneller geworden.
• Etliche Sicherheitslücken und kleine Ungereimtheiten wurden beseitigt. 

Trotzdem: Die aufgetretenen Probleme betreffen zumeist Grundfunktionalitäten. Kann jemand "Qualitätssicherung" buchstabieren?

Nach einer kurzen Panne ist Joomla 1.0.6 soeben noch einmal veröffentlicht worden. Wer den ersten Download erwischt hat, sollte ihn wegwerfen und noch einmal herunterladen.

Wie immer gilt: Vor Installation der neuen Version auf einer produktiven Website am besten erst einmal ein paar Tage abwarten und die Foren auf potentielle Probleme scannen. In der Zwischenzeit kann man das Release auf einer Testinstallation schon einmal auf Herz und Nieren prüfen.

Update: Der erste schwere Bug ist schon wenige Minuten nach Erscheinen bekannt. Beim Abspeichern der Global Configuration über den Administrationsbereich wird das Datenbankpasswort geleert; damit ist die Website nicht mehr funktionsfähig. Über das Durchrutschen eines solchen "Showstoppers" – wie man im Projektgeschäft sagt – ins Release kann man wirklich nur noch den Kopf schütteln.

Update 2: Soeben wurde Joomla 1.0.7 veröffentlicht, das diesen Bug beheben soll – zusammen mit einer Entschuldigung von Rey Gigataras.

So begrüßenswert es ist, dass die Entwickler relativ schnell auf das aktuelle Sicherheitsproblem reagiert haben, so schade ist es, dass sich offenbar einige doch schwerwiegendere Bugs in das neue Release eingeschlichen haben. Hier eine Zusammenfassung der Nebeneffekte, die derzeit in den Foren diskutiert werden:

• Media Manager: Inhalt von Unterordnern wird nicht angezeigt.
  Fix: im deutschen Forum – Posting von KaffDaddy

• Media Manager: Neu angelegte Ordner innerhalb von Unterordnern werden fälschlich auf oberster Ebene angezeigt.
  Fix: derzeit keiner

• Newsflash: "Weiterlesen"-Link fehlt.
  Fix: derzeit keiner

• Vereinzelte Javascript-Fehler "OverLIB 4.10 or later is required for the HideForm Plugin".
  Fix: derzeit keiner

• Vereinzelt falsch kodierte Zeichen im Content.
  Bugtracker
  Fix: derzeit keiner

• Datenbankzugriff unter PHP 4.1.x vollständig defekt, Site geht in den Offline-Modus.
  Bugtracker und Fix

• Bei der Darstellung von Newsfeeds sind Links nicht mehr klickbar.
  Fix: derzeit keiner

Die gute Absicht der Entwickler war da: Zusammen mit dem Sicherheits-Fix sollten auch gleich etliche weitere Bugfixes veröffentlicht werden. Diese wurden aber ganz offensichtlich nur unzureichend qualitätsgesichert. Damit haben sich die Entwickler nun selbst unter Druck gesetzt, möglichst schnell eine fehlerbereinigte Folgeversion 1.0.5 nachzuschieben.

Besser wäre es wohl gewesen, sofort einen kleinen Hotfix für das Sicherheitsproblem zu veröffentlichen und diesen dann zusammen mit den anderen Bugfixes in eine ausreichend getestete Version 1.0.4 zu integrieren – und diese hätte dann ruhig noch etwas auf sich warten lassen dürfen. Eine Vermischung von beidem glückt selten.