Bonjour,

Plusieurs failles de sécurité ont été repérées (Merci à High-Tech
Bridge SA Security Research Lab, Davy et Arnault) dans les
versions 1.9, 2.0 et 2.1 de SPIP.

Nous rappelons à toutes et tous que le meilleur moyen pour signaler
des failles, ou des suspicions de failles, est d’envoyer un email
à spip-team@rezo.net.

Deux des failles concernent les versions 2.0 et 2.1.
La plus sévère ouvre la possibilité pour un membre non autorisé
de se déclarer administrateur.
Les deux autres concernent l’affichage de « full path disclosure » et une
possibilité d’injection XSS.

La mise à jour du célèbre écran de sécurité ne protège pas des trois
failles précitées : il n’a pas été possible de faire un code léger qui
comblerait ces trois problèmes. Néanmoins, vous êtes encouragé à
télécharger sa version la plus récente (1.0.6 du 05 novembre 2011)
et la déposer dans votre répertoire config/
(cf. http://www.spip.net/fr_article4200.html).

Pour la version 1.9 la mise à jour de l’écran est suffisante si vous
ne souhaitez pas passer en version 1.9.2n.

Pour les versions 2.0 et 2.1, nous vous recommandons de mettre à
jour SPIP, car l’écran ne corrige pas les failles qui concernent
spécifiquement ces versions.

En clair, nous vous recommandons fortement de mettre à jour.

N’hésitez pas à utiliser les différents moyens mis à disposition par la
communauté pour obtenir de l’aide lors de cette mise à jour :
- Liste spip-user : http://listes.rezo.net/mailman/listinfo/spip
- Forum : http://forum.spip.org/
- IRC : http://spip.net/irc

Comment mettre à jour ?

1. par spip_loader.php :
si vous avez déjà installé spip_loader, rendez-vous à l’adresse
http://VOTRE_SITE/spip_loader.php pour installer SPIP 2.1.12

2. par copie des fichiers :
SPIP 2.1.12 est disponible à l’adresse
http://files.spip.org/spip/stable/spip.zip

3. par SVN ;
si vous êtes dans la branche 2.1 faites simplement un « svn up »
svn ://trac.rezo.net/spip/branches/spip-2.1
la version 2.1.12 est aussi disponible sous la branche :
svn ://trac.rezo.net/spip/branches/spip-2-stable/
et sous le tag
svn ://trac.rezo.net/spip/tags/spip-2.1.12/

Les versions 2.0.17 et 1.9.2.n sont téléchargeables ici :
http://files.spip.org/spip/archives/

Post Scriptum :

Comment être tenu au courant de ces annonces ? Le plus simplement du monde en
s’inscrivant sur la mailing liste
http://listes.rezo.net/mailman/listinfo/spip-ann .

Bien sûr les réseaux sociaux ne sont pas en reste :
- @spipeau : http://twitter.com/spipeau
- Facebook : http://www.facebook.com/pages/SPIP/174695777822
- Seenthis : http://seenthis.net/people/spip