Paperless-ngx 3.4.0: OIDC-innlogging uten dobbel 2FA, miniatyrbilder uten ImageMagick

Paperless-ngx-prosjektet lanserte versjon 3.4.0 29. oktober 2026, én uke etter 3.3.4. Funksjonsutgivelsen introduserer en innstilling som fjerner den lokale tofaktorforespørselen ved OIDC-innlogginger dersom identitetsleverandøren allerede har bekreftet en andre faktor. Paperless-ngx genererer nå miniatyrbilder for PDF-dokumenter med Poppler-verktøyene, og ImageMagick er ikke lenger en avhengighet. I tillegg kommer utvidelser for arbeidsflyter og Custom Fields, endringer i opplasting og varsler i webgrensesnittet, åtte feilrettinger samt oppdateringer av frontend- og Python-avhengigheter som prosjektet fører som sikkerhetsoppdateringer. Utgivelsen nevner ingen egen sikkerhetsmelding med CVE eller GHSA. Den er rettet mot alle som drifter Paperless-ngx 3.x, særlig installasjoner med OIDC-innlogging og Bare Metal-installasjoner der du selv administrerer systempakkene.

Versjonene i oversikt

OIDC-innlogging: lokal 2FA ved pålitelig AMR

Ved innlogging via en OIDC-leverandør evaluerer Paperless-ngx nå amr-claimen i ID-tokenet (PR #14403). Dersom den inneholder én av verdiene fra PAPERLESS_SOCIAL_ACCOUNT_MFA_TRUSTED_AMR, hopper Paperless-ngx over sin egen tofaktorforespørsel for denne innloggingen. I henhold til konfigurasjonsdokumentasjonen er standardverdien for variabelen mfa. Dokumentasjonen nevner Authelia, som rapporterer mfa, og Pocket ID, som rapporterer phr ved passnøkler, som eksempler. Pocket ID sender verdien otp for engangskoder via e-post; dokumentasjonen vurderer denne som upålitelig.

PAPERLESS_SOCIAL_ACCOUNT_MFA_TRUSTED_AMR=mfa

Siden standardverdien allerede er satt, endres oppførselen etter oppdateringen for brukere med lokalt konfigurert 2FA så snart identitetsleverandøren deres leverer mfa i amr-claimen. Kontroller derfor hvilke AMR-verdier leverandøren faktisk sender, og om disse verdiene bare angis ved en reell andre faktor. Dokumentasjonen krever uttrykkelig at du kun angir verdier som betyr at en andre faktor faktisk ble brukt ved innloggingen. Samtidig oppdaterer 3.4.0 django-allauth til 65.20 og oauthlib til 4.0 (PR #14570).

PDF-miniatyrbilder med Poppler, ImageMagick fjernet

Tidligere kalte Paperless-ngx ImageMagick (convert -density 300) for miniatyrbildet av en PDF, som rendret første side via Ghostscript med 300 DPI. Fra og med 3.4.0 renderer pdftoppm fra Poppler-verktøyene første side, Pillow skalerer bildet og lagrer det som WebP (PR #14420). Paperless-ngx beregner oppløsningen fra sidestørrelsen, som det henter med pdfinfo, med maksimalt 300 DPI. Ghostscript-reserven for miniatyrbilder faller bort, mens reparasjon med qpdf beholdes. Forfatteren av PR-en har målt betydelig kortere kjøretider og lavere minnebruk, for et tomt A0-dokument omtrent 0,21 i stedet for 12,9 sekunder; verdiene er ikke uavhengig kontrollert.

Med PR #14440 faller ImageMagick helt bort. De gjenværende oppgavene, i hovedsak fjerning av en alfakanal fra bilder, håndteres av en hjelper basert på Pillow; WebP-filer lagres tapsfritt. ImageMagick-policyen som tidligere måtte tilpasses for PDF-behandling, er dermed ikke lenger nødvendig. Ghostscript forblir installert fordi OCRmyPDF fortsatt trenger det.

For administratorer har dette to følger:

• Bare Metal: pdftoppm må være tilgjengelig. Hvis det mangler, viser Paperless-ngx en advarsel ved oppstart. Sammenlign de installerte systempakkene med den oppdaterte avhengighetslisten i installasjonsdokumentasjonen.
• Konfigurasjon: PAPERLESS_CONVERT_MEMORY_LIMIT og PAPERLESS_CONVERT_TMPDIR er ifølge PR #14420 foreldet og uten virkning, og PAPERLESS_GS_BINARY er også merket som foreldet. Du kan fjerne disse oppføringene fra paperless.conf eller .env-filen.

Arbeidsflyter, Custom Fields og webgrensesnitt

• Arbeidsflyter: Tittelmaler i arbeidsflyter kan bruke Custom Fields (PR #14564). I taggfeltene for arbeidsflyter kan over- og underordnede tagger velges uavhengig av hverandre (PR #14400).
• Custom Fields: Spørringer mot datofelt kan gjøres relativt (PR #14549).
• Opplasting og varsler: Navigasjonslinjen har en opplastingsknapp (PR #14442). Knappen viser antallet pågående opplastinger og peker til oversikten, mens antallet varsler reduseres (PR #14501, #14500).
• Grensesnitt: Dokumentdetaljene er revidert (PR #14485), oppgavemerket lastes raskere (PR #14552), og KI-chatten gjengir Markdown (PR #14409, #14415).

Feilrettinger

• document_exporter avbrøt ved eksport til en mappe med --delete dersom en foreldet manifest.json.tmp fantes (PR #14526). De som bruker eksportøren med --delete til sikkerhetskopier, bør etter oppdateringen kontrollere at eksportene igjen fullføres.
• Ved redigering av et dokument oppdateres søkeindeksen først etter arbeidsflytkjøringene (PR #14558).
• Dersom en strekkode ikke gir dokumentseparasjon, blir tagger ikke lenger tildelt forsinket (PR #14497).
• Avbrutte eller utløpte oppgaver vises mer forståelig (PR #14566).
• Skjemavisningen for API-et utløser ikke lenger tillatelsesspørringer mot dokumenter (PR #14503), og listetypen for filtrene for dokumentobjekter i API-skjemaet er korrigert (PR #14524).
• Lange versjonsbetegnelser forkortes i nedtrekksmenyen, og størrelsen på nedtrekksmenyene er standardisert (PR #14578, #14510).

Avhengigheter og sikkerhet

Release Notes fører oppdateringer av frontend-avhengigheter (PR #14581) samt av brotli, djangorestframework, filelock, msgpack og setuptools (PR #14575) som sikkerhetsoppdateringer. Release Notes oppgir ikke hvilke sårbarheter i disse pakkene som lukkes. Angular-komponentene er på 22.2.2. Prosjektet har ingen egen Security Advisory for 3.4.0 (per 30. oktober 2026).

Den nyeste adviseringen GHSA-c8f3-pqr2-rr24 fra 16. oktober 2026 gjelder versjonene 3.0 til før 3.3.2 og er rettet i 3.3.2. Med aktiverte KI-funksjoner kunne KI-klassifiseringsarbeidsflyter for dokumenter uten eier overføre utdrag og metadata fra andre brukeres private dokumenter til den konfigurerte KI-leverandøren (CVSS 3.1: 4.3, ingen CVE). Systemer som fortsatt kjører en eldre 3.x-versjon, lukker også dette sikkerhetshullet med oppdateringen til 3.4.0.

Anbefalt fremgangsmåte

Målversjonen er 3.4.0. Stopp pågående behandlinger som dokumentinntak før oppdateringen, og opprett en sikkerhetskopi slik administrasjonsdokumentasjonen krever. For Docker-installasjoner med image fra Docker Hub stopper du stakken med docker compose down, laster ned det nye imaget med docker compose pull og starter med docker compose up, der databasemigreringer kjøres automatisk; når alt fungerer, starter du stakken med -d i bakgrunnen. For Bare Metal-installasjoner installerer du først de nye systemavhengighetene, spesielt Poppler med pdftoppm, oppdaterer Python-pakkene med pip install -r requirements.txt og kjører migreringene i katalogen src med python3 manage.py migrate. Før første OIDC-innlogging etter oppdateringen må du bestemme hvilke verdier som skal stå i PAPERLESS_SOCIAL_ACCOUNT_MFA_TRUSTED_AMR. En Docker-installasjon med eksternt dokumentlager beskrives i artikkelen Drift av Paperless-ngx med lite lagringsplass. Release Notes for 3.4.0 nevner ingen kjente problemer eller brytende endringer (per 30. oktober 2026).