Release

La version 4.4.28 corrige un petit bug embêtant sur les redirections des actions et sur les hébergement qui désactivent l’utilisation de la fonction phpinfo().
La version 4.4.28 apporte les améliorations ou corrections de bugs suivantes : Quand la redirection est fixée par l’action, il ne faut pas la sanitizer car elle est de confiance (concerne notamment le plugin Bank) Accélérer la mise à jour de réinitialisation des vieux mots de passe Réduire le niveau de log de lecture des clés (…)

Les 2 plugins font l’objet d’une mise à jour de sécurité critique. Il est impératif de les mettre à jour immédiatement, en complément de la mise à jour de SPIP en version 4.4.27
La mise à jour du plugin Crayons en version 3.5.0 corrige plusieurs failles de sécurité critiques de type : injection SQL upload non authentifié de documents malicieux modification arbitraire non authentifiée de champs en base, y compris des champs non éditable, conduisant à des attaques de type : reconstruction (…)

La version 4.4.27 corrige de nombreuses failles de sécurité. Un grand merci à 0xkidz, gaspard, Doston & Thomas Sanzey pour les signalements. PS : nous avons sauté le numéro de version 4.4.26 à cause d’un petit bug de dernière minute.
Cette version corrige de nombreuses failles de type pré-authentification RCE, élévation de privilèges, XSS, injection SQLite, upload HTML anonyme, reconstruction du secret du site.
Ces failles ne sont pas prises en charge par l’écran de sécurité. (…)

La version 4.4.25 corrige un petit bug embêtant sur les sites qui utilisent les URLs arborescentes.
La release précédente avait embarqué avec elle un petit bug bien gênant sur les sites utilisant les URLs arborescentes, celui-ci est corrigé dans la version 4.4.25.
La version 4.4.25 apporte les améliorations ou corrections de bugs suivantes : Calcul de self() avec les urls arborescentes Ne pas mettre en cache les pages 404 Retrait de fonction curl_close() inutile en PHP 8Mettre à jour (…)

La version 4.4.24 corrige quelques bugs introduits dans les dernières versions, et réduit le délai de vérification d’une nouvelle version de SPIP.
Et allez, une nouvelle version de SPIP, ça faisait longtemps !
À la lumière des évènements de cet été, SPIP vérifie désormais 4 fois par jour la publication d’une nouvelle version pour vous alerter au plus vite.
Pour les personnes qui reçoivent des alertes de leur hébergeur concernant des fichiers de cache considérés à tort comme malicieux, (…)

La version 4.4.23 corrige une faille de sécurité et un bug introduit dans la version 4.4.22 qui pouvait rendre le site public dysfonctionnel dans certains cas.
Cette version corrige une faille de type élévation de privilèges permettant d’accéder à une RCE. Nous remercions l’ANSSI et 0xkidz pour les signalements.
Ces failles ne sont pas prises en charge par l’écran de sécurité.
La version 4.4.23 apporte les améliorations ou corrections de bugs suivantes : si le texte est plus long que (…)

La version 4.4.22 corrige plusieurs failles de sécurité. Elle apporte également une amélioration pour éviter que le cache ne soit empoisonné avec des tentatives d’exploitation des failles de SPIP 4.4.19 et SPIP 4.4.20, ce qui peut provoquer des fausses alertes de sécurité chez certains hébergeurs.
Cette version corrige deux RCE préauthentification et une faille mineure favorisant les tentatives de phishing. Nous remercions Glop, l’ANSSI et Jules (jvoisin) pour les signalements.
Ces (…)

La version 4.4.21 corrige une faille de sécurité signalée anonymement via l’ANSSI.
Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche la version 4.4.20 de SPIP.
Cette faille n’est pas prise en charge par l’écran de sécurité.
Il est impératif de mettre très rapidement votre site à jour, des tentatives d’exploitation de la faille ont déjà été constatées dans la nature.
La version 4.4.21 apporte les améliorations ou corrections de (…)

La version 4.4.20 corrige une faille de sécurité signalée anonymement via l’ANSSI.
Un grand merci à Glop pour son aide à l’analyse et au correctif de la faille.
Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche toutes les versions de SPIP.
Cette faille n’est pas prise en charge par l’écran de sécurité.
Il est impératif de mettre très rapidement votre site à jour, des tentatives d’exploitation de la faille ont déjà été (…)

La version 4.4.19 corrige quelques bugs introduits par la version 4.4.18, notamment un qui cassait la procédure de rappel de mot de passe.
La version 4.4.19 apporte les améliorations ou corrections de bugs suivantes : Le bouton « Réinitialiser la liste des tâches » doit recharger le bloc principal de la page Lever un autoriser_exception() avant de modifier le mot de passe Si pas de meta version_installee déclencher un upgrade à partir d’une version arbitraire Ne pas générer de timeout (…)