Faille Plume CMS
Dagg
Une faille a été rapportée par Cilia.
Cette faille concerne donc les versions qui ont le plugin
"Gestionnaire de liens". Les versions 1.x sont touchées mais je ne
sais pas si les versions 1.0.x le sont ( je n'arrive pas a télécharger
la source du plugin :(. Seb pourrait le confirmer.
En attendant le retour et
le point de vue de Loïc, voici un correctif, copié-collé adapté du
précédent :
===============================================
Pour sécuriser votre installation procédez comme suivant:
Ouvrez le fichier :
/manager/tools/link/dbinstall.php
Et ajoutez la ligne suivante:
if (basename($_SERVER['SCRIPT_NAME']) == 'dbinstall.php') exit;
Juste après la ligne :
# ***** END LICENSE BLOCK *****
Une version contenu le fix va être proposé au plus vite.
Merci pour votre rapide mise à jour de votre système.
loïc
===============================================
Sébastien FIEVET
Sur les versions 1.1.x, je mettrai à jour les sources sous SVN. Puis il faudra refaire une build.
Sur les versions 1.0.x, je mettrai à jour les sources du plugin sur le wiki.
Bye :)
Seb
JJJtroisfois
> Le plugin Link est vulnérable sur toutes les versions.
> Sur les versions 1.1.x, je mettrai à jour les sources sous SVN. Puis il
> faudra refaire une build.
> Sur les versions 1.0.x, je mettrai à jour les sources du plugin sur le wiki.
> Bye :)
Merci pour la précision :)
Est-ce que temporairement désactiver seulement le plugin permet de se
mettre à l'abri en attendant une rebuilt ?
Merci d'avance
Sébastien FIEVET
Bye :)
Seb
Dagg
Pour info, je n'ai pu ouvrir aucune des versions du plugin link. J'ai
l'impression que tous tes fichiers dans /share sont inexploitables.
--
@+
Gilles
Sébastien FIEVET
Normalement, je dois avoir des copies de sauvegarde sur ma machine à la maison. Le hic, c'est que je ne serai pas sur mon PC avant quelques jours.
Dès que possibe, je patche le plugin, je mets à jour les archives, et je passe aussi le plugin dans SVN sur SF.
Bye :)
Seb
Loic d'Anterroches
Je pars en vacances, je releve mes emails en cours de route (on rentre
demain, donc c'est plutot la fin de la route) et je vois une faille !
Je fais une release lundi avec l'aide du patch de Seb.
a+
loïc
On 7/6/2006, "Sébastien FIEVET" <sebastie...@gmail.com> wrote:
>Exact. J'ai essayé toute la journée d'hier d'ouvrir une archive pour la
>patcher au plus vite : aucun succès. Le dernier hacking n'a pas fait du bien
>aux données...:(
>Normalement, je dois avoir des copies de sauvegarde sur ma machine à la
>maison. Le hic, c'est que je ne serai pas sur mon PC avant quelques jours.
>Dès que possibe, je patche le plugin, je mets à jour les archives, et je
Sébastien FIEVET
Je viens de mettre à jour le plugin Link, qui passe maintenant en version 1.4.2.
Voici les liens de téléchargement :
Installeur (.pk.gz)
Archive (.zip)
Archive (.tar.gz)
N.B. : Cette version de plugin est uniquement destinée aux versions de Plume 1.0.x. Les versions 1.1.x ne sont pas concernées.
Loic d'Anterroches
> Salut,
> Je viens de mettre à jour le plugin Link, qui passe maintenant en version
> 1.4.2.
> Voici les liens de téléchargement :
> Archive (.zip) <http://sebfievet.free.fr/share/plugin-link-1.4.2.zip>
> Archive (.tar.gz) <http://sebfievet.free.fr/share/plugin-link-1.4.2.tar.gz>
>
> *N.B.* : Cette version de plugin est uniquement destinée aux versions de
> Plume 1.0.x. Les versions 1.1.x ne sont *pas* concernées.
Salut,
Super ! Merci ! Peux-tu aussi mettre à jour le wiki? (si pas déjà fait)
a+
loïc
>> loïc
>>
>> On 7/6/2006, "SÃ(c)bastien FIEVET" <sebastie...@gmail.com> wrote:
>>
>>> Exact. J'ai essayÃ(c) toute la journÃ(c)e d'hier d'ouvrir une archive pour la
>>> patcher au plus vite : aucun succès. Le dernier hacking n'a pas fait du
>> bien
>>> aux donnÃ(c)es...:(
Sébastien FIEVET
Je veux bien, mais je n'arrive plus à y accéder... Peux tu me redonner l'URL stp ?
Bye :)
Seb
Loic d'Anterroches
> Salut,
> Je veux bien, mais je n'arrive plus à y accéder... Peux tu me redonner l'URL
> stp ?
vi: http://pxsystem.sourceforge.net/community/
a+
loïc
Sébastien FIEVET
Le plugin Link est affiché en version 1.2, alors que la dernière était la version 1.4.1. Il me semble avoir ajouté quelques commentaires depuis d'ailleurs, mais je ne sais plus lesquels...
Loic d'Anterroches
> Euh...c'est moi où j'ai l'impression que la récupération des données du wiki
> est incomplète ?
> Le plugin Link est affiché en version 1.2, alors que la dernière était la
> version 1.4.1. Il me semble avoir ajouté quelques commentaires depuis
> d'ailleurs, mais je ne sais plus lesquels...
umh... je ne sais pas... je vais devoir regarder cela.
snif. moi pas aimer ce genre de travail.
je ne suis pas ce WE. Mariage d'amis à Berlin. Donc à lundi !
a+
loïc
Sébastien FIEVET
En cas, je ferai le nécessaire ;)
Bon mariage.
Bye :)
Seb
>>>>> * N.B.* : Cette version de plugin est uniquement destinée aux versions