Mise à jour de maintenance et sécurité : sortie de SPIP 4.2.3, SPIP 4.1.10

Cette release corrige plusieurs bugs dont un bug de sécurité sur le fichier .htaccess.
Nous vous rappelons qu’à chaque mise à jour de SPIP, il convient de le mettre à jour en renommant le htaccess.txt en .htaccess.

La version 4.2.3 améliore certains points de sécurité :

• bloquer correctement les fichiers cachés dans le htaccess livré par défaut
• éviter l’usage de unserialize dans l’écran de sécurité
• limiter la profondeur de récursion de la fonction protege_champ()
• inclure l’écran de sécurité avant l’autoloader
• limiter l’usage de #ENV** dans les formulaires.

Elle apporte aussi les nouveautés ou corrections de bugs suivantes :

• appliquer l’option httponly sur la plupart des cookies internes à SPIP
• appliquer l’option secure sur les cookies lorsqu’on est en HTTPS
• attributs data-objet, data-id_objet et data-objet-source sur le formulaire d’édition de liens, pour usage en JS à toutes fins utiles
• log des dépréciations, via la fonction trigger_deprecation (de symfony/deprecations-contracts).
• permettre de fournir le nom de l’attachement à spip_livrer_fichier()- Mise à jour de Sortable.js (1.14.0 => 1.15.0)
• refacto page de contrôle et boîtes des tâches de fond- Erreur Fatale en PHP 8.2 (Operand type) sur plugins_afficher_nom_plugin_dist()
• calcul d’URL de generer_url_api sans précision du paramètre public
• déclaration propre du pipeline notifications_destinataires
• éviter un Deprecated sur la fonction d’import CSV
• filtre couper erroné dans certains cas avec des caractères utf8 multi bytes
• formulaire de configuration du multilinguisme
• présentation de l’input de recherche dans l’ajout d’auteurs liés
• recherche et navigation dans le sélecteur de rubriques dépliant
• typage en entrée de certains paramètres des fonctions generer_* lorsque l’objet n’existe pas
• retrouver correctement les anciens itérateurs
• indiquer la bonne fonction dans le message d’erreur de _imagecreatefrom_func
• animation plus douce des formulaires resoumis hors ajax
• notices PHP en moins sur la page de contrôle des tâches de fond
• correction d’erreurs des traitements d’image si la balise img n’a pas d’attribut src
• correction des filtres de date lorsque l’entrée ne précise pas le jour tel qu’avec 2023-03
• archiviste :
  • Spip\Archiver\ArchiverInterface::emballer() accepte comme premier paramètre, soit une liste de fichiers, soit un tableau associatif du type ['source' => 'destination'], auquel cas le second paramètre n’est pas pris en compte
  • gestion des retours des méthodes SpipArchiver::commenter et SpipArchiver::retirer
• bigup :
  • mise à jour des chaînes de langues depuis trad.spip.net
  • corrige récupération des exifs à la compression/retaillage d’une image
  • on réintègre les EXIF dans l’image après la compression en javascript
  • corriger un bug d’upload lors de l’utilisation d’un NFS
• compagnon :
  • un message d’accueil affiche correctement le nom du site s’il contient une balise multi
• mediabox :
  • mode d’affichage « sidebar » via l’attribut data-box-sidebar
  • ajouter des classes arbitraires au conteneur général via l’attribut data-box-class
  • support des images webp
• medias :
  • utiliser spip_livrer_fichier() pour envoyer les fichiers (refactor)
• porte plume :
  • mise à jour des chaînes de langues depuis trad.spip.net
  • bouton retour sur les articles avec un titre vide
  • bouton retour sur les documents
  • bien charger les autorisations voirrevisions et revisions_menu
• statistiques :
  • mise à jour des chaînes de langues depuis trad.spip.net
  • réparer le fonctionnement avec le plugin statistiques_objets
  • afficher les articles dont le titre est vide
• svp :
  • couleur de la barre de progression sous webkit
  • aligner l’affichage de la liste des plugins de exec=admin_plugin sur celle de exec=charger_plugin
  • la migration de base depuis 0.4.0 générait des erreurs par absence du champ ’procure’
• textwheel :
  • pipelines pre_echappe_html_propre_args et post_echappe_html_propre_args
  • 0 et ’0’ sont des textes à traiter aussi
• urls étendues :
  • permettre de sélectionner le texte de l’url des objets

La version 4.1.10 améliore certains points de sécurité :

• bloquer correctement les fichiers cachés dans le htaccess livré par défaut
• éviter l’usage de unserialize dans l’écran de sécurité
• limiter la profondeur de récursion de la fonction protege_champ()

Elle apporte aussi les nouveautés ou corrections de bugs suivantes :

• éviter un deprecated sur le filtre |replace
• typage en entrée de certains paramètres des fonctions generer_* lorsque l’objet n’existe pas.
• correction d’erreurs des traitements d’image si la balise img n’a pas d’attribut src
• correction des filtres de date lorsque l’entrée ne précise pas le jour tel qu’avec 2023-03
• aligner le comportement du filtre |image_reduire sur celui de GD quand on utilse convert
• bigup :
  • corriger un bug d’upload lors de l’utilisation d’un NFS
• mediabox :
  • support des images webp
• révisions :
  • bien charger les autorisations voirrevisions et revisions_menu
• statistiques :
  • réparer le fonctionnement avec le plugin statistiques_objets