FDS2610/Steuerkram
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
420 commits 1 branch 0 tags 2 MiB
Commit graph

238 commits

Author SHA1 Message Date
fds2610-bot
be0b38f64b Fix #213: KI-Vorschlag-Badge ohne innerHTML für Kontobezeichnungen (Stored XSS) 2026-09-25 09:10:19 +02:00
fds2610-bot
69fcc84301 Fix #208: Totmannschalter für den Nextcloud-Import 
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
 2026-09-20 17:25:26 +02:00
fds2610-bot
3eab29b050 Fix #210: Gezahlte Vorsteuer als Betriebsausgabe in der EÜR (Zeile 57 / Kz 185) 2026-09-20 17:11:43 +02:00
fds2610-bot
c90f2b0623 Fix #206: Admin-Prüfung bei GET /settings ergänzt 
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
 2026-09-20 08:55:23 +02:00
fds2610-bot
47ec4ed1b9 Fix #203: Admin-Prüfung im BankinstituteController ergänzt 2026-08-26 07:31:37 +02:00
fds2610-bot
6fef9eff24 Fix #202: Admin-Prüfung bei /settings/logo (Logo-Upload) ergänzt 2026-08-26 07:26:28 +02:00
fds2610-bot
9c6bb597d2 Fix #200: Admin-Prüfung für alle Settings-Verwaltungsendpoints ergänzt 2026-08-24 22:52:00 +02:00
fds2610-bot
9866b77c7d Fix #196: scripts/ nach Ausführungsort aufgeräumt (Host / Container / intern) 2026-08-21 11:47:56 +02:00
fds2610-bot
c6164cf823 Fix #198: Fehlender View-Import in suppliers/list.php, veralteter E2E-Selektor 2026-08-21 10:32:59 +02:00
fds2610-bot
71ccbb754c Fix #193: SMTP-SSRF-Schutz per IP-Pinning, Admin-Pflicht für SMTP-Einstellungen 2026-08-21 08:20:03 +02:00
fds2610-bot
3f4eb1c734 Fix #160: Inline-Styles und Inline-Handler reduziert (Schritt 1: Modals, invoices/show.php, alle Inline-Handler) 2026-08-18 21:01:00 +02:00
fds2610-bot
23efce3196 Fix #161: Restposten aus Tech-Debt-Analyse (O-CHAT.html, fints.php/bankimport.php, Request-Klasse) 
(a) public/O-CHAT.html nach BEISPIELE/ verschoben, Test 93 hält den Webroot sauber.
(b) bank/fints.php in Teil-Views + public/static/js/fints.js aufgeteilt.
(c) settings/bankimport.php in Teil-Views + public/static/js/bankimport.js aufgeteilt.
(d) src/Request.php angelegt, BankController als erster Controller umgestellt.
 2026-08-18 13:12:12 +02:00
fds2610-bot
edb246c61f Fix #189: Formularfelder in Dialogen einzeilig, Hilfetexte als Tooltip 2026-08-18 10:27:35 +02:00
fds2610-bot
458d007107 Fix #187: Bankleitzahlen-Verzeichnis unter Einstellungen 2026-08-18 09:12:19 +02:00
fds2610-bot
4cde18294a Fix #185: Abgeschnittene PayPal-NVP-Antworten im Abrufprotokoll 2026-08-18 07:37:31 +02:00
fds2610-bot
1e043524fc Fix #183: SSRF-Schutz für SMTP-Einstellungen (mail_smtp_host) 2026-08-12 16:51:55 +02:00
fds2610-bot
74b9f0cc17 Fix #159: Überlange Methoden zerlegt (FinTsFetchService::run, Booking::create/reverse, Bank-/InvoiceController) 2026-08-11 07:17:41 +02:00
fds2610-bot
857989cf65 Fix #158: Kontengruppierung, Kontrastfarbe und Helper-Boilerplate in View gebündelt 2026-08-11 06:24:47 +02:00
fds2610-bot
d0a8a6dfb7 Fix #157: belege/detail.php in Teil-Views und externe JS-Dateien aufgeteilt 2026-08-11 06:03:55 +02:00
fds2610-bot
3acd0cea5c Fix #156: Direkte SQL-Aufrufe aus Controllern in die Modellschicht verschoben 2026-08-10 21:13:11 +02:00
fds2610-bot
cc9f497165 Fix #147: Benutzerverwaltung nur noch für Admins zugänglich 2026-08-09 20:21:04 +02:00
fds2610-bot
88d9cc53ff Fix #155: AfA-Buchungen laufen jetzt über Booking::createAfa()/reverseAfa() 
AssetController setzte INSERT INTO bookings bislang direkt ab und umging
damit die Sperre des Geschäftsjahres, den transaktionalen Schutz der
Nummernvergabe und ordnete Stornos dem falschen Geschäftsjahr zu.
 2026-08-03 22:09:16 +02:00
fds2610-bot
ed58490fc2 Fix #166: Buchungszeilen ohne Anlage-Spalte, Typ in der ersten Spalte 2026-08-02 20:21:57 +02:00
fds2610-bot
fc65fcb9c5 Fix #165: Bereichs- und Schweregradfilter stehen nebeneinander 2026-08-02 20:12:09 +02:00
fds2610-bot
3ba3912fa4 Fix #167: Dashboard-Kacheln rechnen wie die EÜR und führen auf ihre Einzelbuchungen 2026-08-02 16:50:42 +02:00
fds2610-bot
c9afc3e33f Fix #165: Ereignisse zeigen Fehler und Warnungen aus dem ganzen System 2026-08-02 16:50:18 +02:00
fds2610-bot
5df6c2c9dc Fix #166: Buchungsnummer und Datum teilen sich eine Spalte in der Belegansicht 2026-08-02 16:49:54 +02:00
fds2610-bot
e81df45382 Fix #170: Tests laufen als www-data und räumen angelegte Dateien selbst auf 2026-08-02 16:12:47 +02:00
fds2610-bot
043c68b2e4 Fix #nummernkreis: Löschen gibt die zuletzt vergebene Rechnungs- und Belegnummer wieder frei 2026-08-02 15:37:07 +02:00
fds2610-bot
7cea573ffc Fix #e2e: E2E-Tests ergänzt, /accounts/new und /assets/new lieferten HTTP 500 
Steuerkram an den e2e-runner angebunden (tests/e2e/, 44 Playwright-Tests).
Der erste Smoke-Lauf fand zwei Seiten mit HTTP 500: AccountController::create
las $_GET['from'] ungeprüft, assets/form.php nutzte $testMode und
$defaultKontoId außerhalb des Bearbeiten-Zweigs. Beides war bis zur
Fehler-Härtung (#142) nur eine stille Warning.

Test 67 räumt sein Belegverzeichnis jetzt mit ab - es blieb als root-eigenes
Verzeichnis liegen und blockierte spätere echte Uploads mit HTTP 500.

Test 77 (neu) sichert die Löschsperre von Beleg::delete() ab.
 2026-08-02 11:58:33 +02:00
fds2610-bot
496ae92f0c Fix #nextcloud-import: IP-Pinning bei Dual-Stack-Hosts brach jede WebDAV-Verbindung 2026-08-01 11:03:48 +02:00
fds2610-bot
934532fac9 Fix #zahlungsstatus: Rechnungsstatus folgt automatisch den erfassten Zahlungen 2026-07-31 20:01:32 +02:00
fds2610-bot
d83d63cc14 Fix #xml-rechnung: USt-IdNr. des Kunden (BT-48) landet wieder im XML 
Invoice::find() selektierte c.ust_id nicht, invoices hat keine eigene
Spalte dafür - der Zweig addDocumentBuyerVATRegistrationNumber() lief
deshalb nie. Bei Kategorie S optional, bei Reverse Charge und
innergemeinschaftlichen Lieferungen aber Pflicht.
 2026-07-31 18:35:20 +02:00
fds2610-bot
117c9a5c88 Fix #xml-rechnung: XML-Download (EN 16931 / XRechnung 3.0) in der Rechnungs-Detailansicht 
XML-Symbol neben dem PDF-Symbol lädt die Rechnung als reine XML-Datei
(Profil XRechnung 3.0, CIUS von EN 16931). Fehlende Stamm- oder
Rechnungsdaten verhindern den Download nicht, werden aber mit BT-Nummer
in der Detailansicht ausgewiesen. Die PDF-Einbettung bleibt bei
Factur-X EN16931.
 2026-07-31 18:20:16 +02:00
fds2610-bot
54fa6dee58 Fix #150: Logo-Upload repariert, Nutzdaten nach data/ getrennt, Backups vollständig 2026-07-31 16:22:09 +02:00
fds2610-bot
acd32a76a5 Fix #148: SMTP-Header-/Kommando-Injection über mail_from_email behoben 2026-07-30 17:57:44 +02:00
fds2610-bot
ed675c8e01 Fix #135: Stored XSS über XSLT in hochgeladenen XML-Belegen behoben 2026-07-27 12:13:55 +02:00
fds2610-bot
8000225a05 Fix #133: DOM-XSS in der Bankimport-Vorschau behoben 2026-07-27 12:10:10 +02:00
fds2610-bot
64898195a3 Fix #132: Reflektiertes XSS über _error-Parameter behoben 2026-07-27 12:07:29 +02:00
fds2610-bot
fc7ad72b96 Fix #131: CSV-Formel-Injection im Anlagelisten-Export behoben 2026-07-27 12:03:49 +02:00
fds2610-bot
70d98ff48a Fix #130: SSRF-Schutz gegen DNS-Rebinding (TOCTOU) per IP-Pinning 2026-07-27 11:59:01 +02:00
fds2610-bot
254761082f Fix #136: CSRF-Schutz für GET /bank/direkt/{id}/run ergänzt 2026-07-27 11:53:48 +02:00
fds2610-bot
46d1a8d4b2 Fix #137: Vertikale Ausrichtung Betrag-Modus-Toggle und Buchungstext korrigiert 2026-07-27 07:37:38 +02:00
fds2610-bot
c1b5c1ca83 Fix #137: Netto/Brutto-Umschalter in der Buchungsmaske ergänzt 2026-07-27 07:21:51 +02:00
fds2610-bot
3e92662d92 Fix #138: Lieferanten-Typeahead in der Belegliste ergänzt 2026-07-27 07:12:37 +02:00
fds2610-bot
9dfaea8cda Fix #139: Auto-Reload-Button durch iOS-artigen Toggle-Switch ersetzt 2026-07-27 06:57:05 +02:00
fds2610-bot
87ccb00f95 Fix #139: Ereignisanzeige aktualisiert sich automatisch (Ein-/Aus-Button) 2026-07-26 16:35:36 +02:00
fds2610-bot
95f9f344ec Fix #testsuite: Test 54 (Session-Cookie) und Test 56 (Nextcloud-SSRF) dauerhaft grün 2026-07-21 19:21:16 +02:00
fds2610-bot
c0d6aac873 Fix: Kontostand-Kachel – Abruf/Kontostand-Label auf gleicher Höhe, Umbruch bei schmaler Kachel 2026-07-21 19:14:19 +02:00
fds2610-bot
666edd5c22 Fix: PayPal-Kontostand über L_AMT0/L_CURRENCYCODE0-Format auslesen 2026-07-21 19:00:01 +02:00