PluXml

Plusieurs failles de sécurité dont deux majeures (détail des failles ci-dessous) ont été corrigées ce soir sur les versions blog beta 4.x par la sortie de la version blog beta 4.1.1.

Nous vous conseillons très fortement de mettre à jour votre PluXml avec cette version disponible dans l'espace téléchargement. Cependant deux failles mineures nécessite la mise à jour de votre thème si celui-ci est personnalisé (Faille Full Path Disclosure et Faille Cross Site Scripting). Il est conseillé aux contributeurs de thèmes sur http://ressources.pluxml.org de mettre à jour leur contribution.

Un hdiff est également disponible en suivant ce lien.

Voilà les failles corrigées:

• Faille Login Bypass : cette faille d'authentification (espace d'administration) est effective si votre configuration PHP possède le paramètre "register_global" à "on".
  La variable "auth_page" dans le code source de l'administration n'était pas fiable dans ce cas et facilement contournable.
• Faille Local File Download : cette faille dans le module de téléchargement permet de facilement récupérer des fichiers confidentiels de votre script PluXml par une modification du "hash" de téléchargement (fichier password.xml par exemple).
• Faille Full Path Disclosure : cette faille dépendante de votre niveau d'erreur PHP (configuration serveur) permet d'obtenir des informations sur le chemin serveur de votre script PluXml.
  Pour corriger cette faille (si vous utilisez un thème personnalisé), il faut ajouter en entête des fichiers de votre thème "header.php", "sidebar.php", "footer.php" la ligne suivante (s'inspirer du thème par défaut) :
  <?php if(!defined('PLX_ROOT')) exit; ?>
• Faille Cross Site Scripting : cette faille permet une injection de code javascript par l'intermédiaire du formulaire de dépôt de commentaires.
  Pour corriger cette faille (si vous utilisez un thème personnalisé), il faut modifier le fichier article.php de votre thème afin de remplacer :
  <form action="./?<?php $plxShow->get(); ?>#form" method="post">
  par :
  <form action="<?php $plxShow->artUrl() ?>#form" method="post">

La discussion continue ici