SPIP Blog

Mise à jour de sécurité : sortie de SPIP 4.4.14

L'équipe maintenance — 2026-05-12T09:01:21Z

La version 4.4.14 apporte des corrections de bugs et corrige deux failles de sécurité. Un grand merci à Louka Jacques-Chevallier (Laluka), Baptiste Rolando, Arthur Deloffre (Vozec), jvoisin et Cezame pour les signalements.

Cette version corrige deux failles de sécurité :

une faille de type RCE dans l'espace privé
une faille de type RCE dans l'espace public, limitée à l'usage de certaines configurations de nginx

Merci encore à Louka Jacques-Chevallier (Laluka), Baptiste Rolando, Arthur Deloffre (Vozec), jvoisin et Cezame pour les signalements.

Ces failles ne sont pas prises en charge par l'écran de sécurité.

La version 4.4.14 apporte les améliorations ou corrections de bugs suivantes :

Meilleure sanitisation de HTTP_HOST
Correction de la prise en charge de REMOTE_USER lors de l'utilisation de nginx
La balise #CHEMIN_IMAGE prend aussi en charge les fichiers avif, webp et jpg
Les constantes _ROOT_RACINE et _ROOT_RESTREINT sont dépréciées
Correction du formulaire d'institution d'objet pour les personnes non webmestres avec un objet sans parent
Correction de la chaîne de langue pour les articles à paraître
Conditionner l'affichage des liens ical dans Suivre la vie du site
Déplacement de squelettes dédiés vers les plugins Organiseur & Pétitions (pensez à mettre à jour ces plugins si vous les utilisez)
Émettre un log lors de l'utilisation de compacte() qui est déprécié depuis longtemps ; utiliser minifier()
Dans certains cas avec SVG le filtre svg_filter_sepia est absent et nécessite d'être chargé
Correction d'un deprecated en PHP 8.5 sur la création d'un message de forum interne
Certains champs de documents de doivent pas être éditables manuellement
Correction d'un warning quand un item RSS comporte une balise source auto-fermante
Réparer le bouton « Tenter une nouvelle récupération » quand un site est en erreur de syndication
Correction d'un type incorrect dans svp_redirige_boucle créant une erreur fatale en PHP 8.5

Mettre à jour en utilisant le spip_loader

Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 6.2.1).

spip_loader est distribué à l'adresse suivante : https://get.spip.net/

Le fichier spip_loader.php est un script compilé dans le format binaire phar. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf https://www.spip.net/fr_article5705.html).

Résumé des versions de SPIP

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.14	Maintenance active	PHP 7.4 à PHP 8.5

Pour connaître le détail des versions maintenues :
https://www.spip.net/fr_article6500.html Comment être tenu au courant de ces annonces ?

C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :

Seenthis : https://seenthis.net/people/spip
Facebook : https://www.facebook.com/spip.net
Mamot : https://mamot.fr/@spip

Une question, besoin d'aide ?

En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :

La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5

Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

Gazette aléatoire n°34

jeanmarie — 2026-03-27T06:35:06Z

Les versions de SPIP sur 3529 sites vérifiés

Version	Nombre de sites	%
4.4	1731	49.1%
4.1	574	16.3%
3.2	555	15.7%

Les autres versions étant en dessous des 5%, elles ne sont pas éligibles au second tour ^^

62.85% des sites 4.4 sont à jour (en 4.4.13 donc)

Équipe maintenance et architecture

SPIP 4.4.13, mise à jour de sécurité

L'équipe maintenance a été réactive ces derniers mois : ce ne sont pas moins de 4 mises à jour de sécurité qui ont été publiées depuis le début de l'année pour corriger plusieurs failles remontées par la communauté.
Un grand bravo !

– Les releases

Amélioration des performances de SVP

Plusieurs travaux ont été entrepris pour améliorer les performances de SVP à court terme. Ces différentes évolutions permettent des gains potentiels d'un facteur 7.5 pour le poids du dépôt transféré et de 24 pour l'utilisation de la mémoire vive du serveur et ce, toutes les 6h pour chaque site SPIP existant.

– https://discuter.spip.net/t/un-poin...

Vie de la communauté

Formation programmation orientée objet en PHP

Maïeul a organisé une formation à distance sur la programmation orientée objet en PHP le 27 février dernier. 7 personnes ont pu profiter de cette formation entre pairs, permettant à chacunne de monter en compétence.

N'hésitez pas à faire signe si vous souhaitez, vous aussi, organiser une formation ou tout autre forme d'échange entre pairs.

– Revoir le programme

Équipe documentation

_IFRAME_SAFE_DOMAINS

Par mesure de sécurité, les iframes sont masquées dans l'espace privé à partir de SPIP 4.4.8, sauf pour les domaines explicitement autorisés via une constante _IFRAME_SAFE_DOMAINS.

_DIR_PLUGIN_XXX

La constante _DIR_PLUGIN_TRUC indique le chemin du dossier où est installé le plugin truc.

Du côté des plugins

Des nouveautés dans formidable

Gros travail sur les dernières versions de Formidable qui viennent de sortir, il y a des nouveautés qui peuvent intéresser pas mal de monde.

– https://discuter.spip.net/t/des-nou...

Et de la documentation aussi :
– Les différents types de configuration d'un formulaire Formidable
– Les pipelines du plugin Formidable

Formidable PDF : des PDF depuis les réponses

Un plugin pour générer et envoyer des PDF en fonction de réponses aux formulaires Formidable.

– https://contrib.spip.net/Formidable...

Statut « Attestée » pour les réponses aux formulaire Formidable

Un outil pour automatiser l'envoi d'attestations de participations, grâce à un statut spécifique pour les réponses du plugin Formidable.

– https://contrib.spip.net/Statut-Att...

Forcer la publication d'une rubrique

Le plugin ajoute la possibilité de forcer manuellement la publication d'une rubrique, même si elle est vide.

– https://contrib.spip.net/Forcer-la-...

Nettoie Logs

Ce plugin vous permet de définir une durée de conservation des logs enregistrés. Au delà de la durée de conservation, les entrées trop anciennes des fichiers de log sont supprimés.

– https://contrib.spip.net/Nettoie-Logs

Balise #MAINTENANT / Balise #NOW

Ce plugin fournit une balise #MAINTENANT et une balise #NOW indiquant le moment de génération de la page.

– https://contrib.spip.net/Balise-MAI...

List-Unsubscribe

Le plugin List-Unsubscribe ajoute automatiquement les en-têtes normalisées de désabonnement (List-Unsubscribe et List-Unsubscribe-Post) aux emails envoyés par le plugin Newsletters (via Mailshot). Ce plugin concerne uniquement les envois directs via un serveur SMTP.

– https://contrib.spip.net/List-Unsub...

Jump ! Changement rapide d'objet

Ce plugin améliore l'espace privé de SPIP. Il permet de basculer rapidement d'un objet vers un autre lorsqu'on connaît son numéro.

– https://contrib.spip.net/Jump-Chang...

Nettoyer les révisions

Ce plugin permet de nettoyer à intervalle régulier les révisions passées des objets SPIP pour ne garder que les plus récentes.

– https://contrib.spip.net/Nettoyer-l...

Personnalisation du mail des nouveautés du site

Améliorations et personnalisations du mail de notifications des nouveautés du site.

– https://contrib.spip.net/Personnali...

Export HTML

Ce plugin ajoute un bouton dans l'espace privé de SPIP au niveau des articles. Il permet d'exporter le contenu de l'article sous format HTML.

– https://contrib.spip.net/Export-HTML

Loupe image

Ce plugin propose d'ajouter une loupe sur la vignette de l'image. Il ne surcharge pas le modèle de la dist mais applique son propre modèle lorsqu'on ajoute le filtre |loupe.

– https://contrib.spip.net/Loupe-image

Saisie captcha addition

Ce plugin propose un petit captcha arithmétique (a + b = ?) affiché sous forme d'image typographique. L'utilisateurrice doit résoudre l'addition pour valider l'envoi d'un formulaire Formidable.

– https://contrib.spip.net/Saisie-cap...

Des pétitions avec le plugin Formidable

Historiquement, SPIP fournissait un outil interne pour gérer des pétitions. Depuis SPIP 4.0, cet outil n'est plus fourni en standard, mais il faut utiliser le plugin Pétitions.

Toutefois, le plugin Pétitions, héritier de l'outil historique de SPIP, est limité. En particulier, il est difficile de pouvoir ajouter d'autres champs que ceux livrés en standard. De plus, le formulaire fournit avec ne permet de gérer que des pétitions, et il est difficile d'étendre les fonctionnalités.

– https://contrib.spip.net/Des-petiti...

Rubrique trucs & astuces

Une colorisation de code SPIP pour VSCode

Joachim Séné nous offre une première version d'une extension VSCode pour la coloration syntaxique des squelettes SPIP. Merci à lui !

– Voir l'annonce sur Mastodon
– Le dépôt Github

Chez les copainnes

Des témoignages sympas, ça fait toujours plaisir :)

Le 13 février 2026, après la sortie de SPIP 4.4.8, Genma rappelle son attachement à SPIP :

Cette année, cela fera 22 ans que mon blog tourne sur le CMS SPIP. Et je continue ! Car Spip est pour moi un exemple pour le logiciel libre ;-)
@spip Je vous aime.

– https://framapiaf.org/@genma/116063...

Il fait ici référence à son témoignage de 2018 SPIP, un exemple pour le logiciel libre ? :

« SPIP est un système de publication pour l'Internet qui s'attache particulièrement au fonctionnement collectif, au multilinguisme et à la facilité d'emploi… Pourquoi est-ce un exemple pour le logiciel libre ? Je suis sous SPIP depuis 2004 et depuis le début, je fais le suivi des montées en version. Par montée de version, je parle de la mise à jour vers des versions correctives et de mises à jour (corrections de bugs) et vers des versions majeures (avec ajout de fonctionnalités, modifications de la base de données)… (Et) toutes ces migrations… toutes ces montées en version, qu'elles soient mineures ou majeures se sont déroulées sans soucis.

– https://blog.genma.fr/?Spip-un-exem...

Mise à jour de sécurité : sortie de SPIP 4.4.13

L'équipe maintenance — 2026-03-06T10:02:37Z

La version 4.4.13 apporte des corrections de bugs et corrige une petite faille de sécurité introduite en 4.4.10. Un grand merci à Jul Blobul pour le signalement. La version 4.4.12 a eu une vie hyperéphémère (bug avec PHP 7.4).

Cette version corrige une faille de sécurité pouvant conduire à la promotion involontaire de comptes en admin.

Merci encore à Jul Blobul pour le signalement.

Cette faille n'est pas prise en charge par l'écran de sécurité.

Cette version corrige également des échappements involontaires sur le contenu renvoyé par des filtres appliqués sur #BALISE lorsque la valeur de #BALISE est récupérée dans l'environnement.

La version 4.4.13 apporte les améliorations ou corrections de bugs suivantes :

Éviter la promotion d'un compte en admin lorsqu'on édite un auteur
Limiter les changements sur les balises avec traitements provenant de l'env (tel que #TEXTE)
Émettre un log sur compacte() qui est déprécié depuis longtemps. Préférez minifier()
Dans une boucle DATA, #BALISE ne correspondant à aucun champ doit récupérer #ENV{balise}
Correction de différentes dépréciations

Mettre à jour en utilisant le spip_loader

Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 6.2.1).

spip_loader est distribué à l'adresse suivante : https://get.spip.net/

Résumé des versions de SPIP

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.13	Maintenance active	PHP 7.4 à PHP 8.5

Pour connaître le détail des versions maintenues :
https://www.spip.net/fr_article6500.html

Pour rappel, le support de la branche 4.3 s'est terminé fin décembre 2025, pensez à mettre à jour vos sites vers la branche 4.4.

Comment être tenu au courant de ces annonces ?

C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :

Seenthis : https://seenthis.net/people/spip
Facebook : https://www.facebook.com/spip.net
Mamot : https://mamot.fr/@spip

Une question, besoin d'aide ?

En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :

La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5

Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

Mise à jour corrective : sortie de SPIP 4.4.11

L'équipe maintenance — 2026-02-27T10:39:10Z

La version 4.4.11 corrige notamment un bug introduit par la version 4.4.10, qui empêchait de créer de nouvelles rubriques.
Pour rappel, la version 4.4.10 corrige des failles de sécurité, il est donc important de mettre à jour votre site si vous êtes encore en SPIP 4.4.9 ou antérieure.

La version 4.4.11 apporte les améliorations ou corrections de bugs suivantes :

Pouvoir créer des rubriques dans l'espace privé
Sur les balises #TRUC* d'environnement, ne pas appliquer les traitements, comme sur ENV*{truc}
Retours plus tolérants des balises #ID_
Tolérer du js sur le dépliement des sous-rubriques dans le privé
Dans le privé, ne pas échapper les liens parce qu'il manque simplement la balise fermante

Mettre à jour en utilisant le spip_loader

Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 6.2.1).

spip_loader est distribué à l'adresse suivante : https://get.spip.net/

Résumé des versions de SPIP

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.11	Maintenance active	PHP 7.4 à PHP 8.5

Pour connaître le détail des versions maintenues :
https://www.spip.net/fr_article6500.html

Pour rappel, le support de la branche 4.3 s'est terminé fin décembre 2025, pensez à mettre à jour vos sites vers la branche 4.4.

Comment être tenu au courant de ces annonces ?

C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :

Seenthis : https://seenthis.net/people/spip
Facebook : https://www.facebook.com/spip.net
Mamot : https://mamot.fr/@spip

Une question, besoin d'aide ?

En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :

La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5

Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

Mise à jour de sécurité : sortie de SPIP 4.4.10

L'équipe maintenance — 2026-02-26T09:45:51Z

La version 4.4.10 apporte des corrections de bugs et corrige trois failles de sécurité. Un grand merci à Arthur Deloffre (Vozec), Louka Jacques-Chevallier (Laluka) et Oreo pour les signalements. Par ailleurs nous signalons aussi la correction de failles de sécurités dans quatre plugins, merci à Chocapikk pour ces signalements.

Cette version corrige trois failles de sécurité :

une faille de type Authentication Bypass pour l'authentification légère
une faille de type Injection SQLI dans l'espace privé
une faille de type RCE dans l'espace privé

Merci encore à Arthur Deloffre (Vozec), Louka Jacques-Chevallier (Laluka) et Oreo pour les signalements.

Ces failles ne sont pas prises en charge par l'écran de sécurité.

La version 4.4.10 apporte les améliorations ou corrections de bugs suivantes :

Bug d'autorisation au chargement du formulaire d'institution générique pour les objets sans parents et les personnes non webmestre
Éviter une boucle infinie en respectant l'option ignore_echappe_js lors du second appel de interdire_scripts()
Mieux sanitizer les valeurs d'environnement tabulaires provenant du GET ou POST
Sécuriser le fallback de #TOTO vers #ENV{toto} (en dehors de l'écran de sécurité aussi)
Utiliser hash_equals dans verifier_low_sec()
Brider unserialize() dans l'édition d'un logo
Correction de deprecated avec PHP 8.5 dans l'archiviste

Par ailleurs :

spip_sanitize_env_from_request() remplaçe spip_sanitize_from_request([...], '*') ou spip_sanitize_from_request([...], [...])
Ce qui entraîne les dépréciations suivantes :
- Second argument * dans spip_sanitize_from_request($env, '*') : Utiliser spip_sanitize_env_from_request($env)
- Second argument array dans spip_sanitize_from_request($env, ['nom']) : Utiliser spip_sanitize_env_from_request($env, ['nom'])

Correction des failles de sécurité dans 4 plugins

Chocapikk nous a signalé des failles de sécurité dans 4 plugins. L'équipe de sécurité s'est chargée de les corriger rapidement. Il est impératif de mettre à jour les plugins suivants en vous rendant dans l'espace d'administration.

Nom du plugin	Version minimale à utiliser	Nature de la faille
Referer spam	1.3.0	Unauthenticated SQL Injection
Tickets	4.3.3	Unauthenticated RCE
Interface de traduction pour objets	2.2.2	Authenticated RCE
Des jeux dans vos articles (« Jeux »)	4.1.1	Reflected XSS

Mettre à jour en utilisant le spip_loader

Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 6.2.1).

spip_loader est distribué à l'adresse suivante : https://get.spip.net/

Résumé des versions de SPIP

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.10	Maintenance active	PHP 7.4 à PHP 8.5

Pour connaître le détail des versions maintenues :
https://www.spip.net/fr_article6500.html

Pour rappel, le support de la branche 4.3 s'est terminé fin décembre 2025, pensez à mettre à jour vos sites vers la branche 4.4.

Comment être tenu au courant de ces annonces ?

C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :

Seenthis : https://seenthis.net/people/spip
Facebook : https://www.facebook.com/spip.net
Mamot : https://mamot.fr/@spip

Une question, besoin d'aide ?

En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :

La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5

Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

Formation programmation orientée objet en PHP

Maïeul — 2026-02-22T20:35:35Z

Une formation à distance sur la programmation orientée objet en PHP, ce vendredi 27 février 2026.

Formation programmation orienté objet en PHP

Cette formation traitera des aspects généraux de la programmation orientée objet.

Après une discussion théorique, on verra quelques exemples de code communautaire et non communautaire.

Seront abordées dans l'ordre les notions de :

– Objet
– Classe
– Visibilité des propriétés et méthodes
– Héritage
– Interface
– Injection de dépendance

Seront également abordées de manière connexe les notions de :
– autoloader
– namespace

Elle suppose de savoir déjà faire de la programmation PHP en procédurale (avec uniquement des fonctions).

Modalités pratiques

La formation aura lieu à 20h via : https://meet.jit.si/spip.

Elle durera environ 2 heures et sera principalement démonstrative (pas de TP individuels).

Cette formation ne sera pas ouverte :

– aux persécutés-de-la-communauté-SPIP-qui-disent-tout-haut-ce-que-beaucoup-pensent-tout-bas-notamment-lorsqu'il-est-question-de-tenir-compte-dans-nos-pratiques-et-vocabulaire-des-minorités-diverses-et-variées ;
– à ceux-qui-pensent-pertinent-de-suggerer-que-cinq-ans-de-RN-permettrait-d-avancer-alors-même-que-les-crimes-racistes-et-fascistes-ne-cessent-d'augmenter.

Pour faciliter la formation, merci de remplir ce formulaire.

Mise à jour de sécurité : sortie de SPIP 4.4.9

L'équipe maintenance — 2026-02-18T09:35:24Z

La version 4.4.9 apporte des correctifs à des bugs introduits dans la 4.4.8. Elle corrige également quatre failles de sécurité. Un grand merci à Dorian Piette (Trachinus) pour les signalements.

Cette version corrige quatre petites failles de sécurité :

deux dans l'espace privé avec les sites syndiqués (blind SSRF et stored XSS) lors de l'utilisation d'URL malicieuses
une autre XSS dans l'espace privé (en complément de la correction précédente dans SPIP 4.4.8)
la quatrième dans l'espace public pour un cas d'usage improbable (Insecure Deserialization) nécessitant un code malveillant présent préalablement à l'attaque.

Encore une fois, merci à Dorian Piette (Trachinus) pour les signalements.

Ces failles ne sont pas prises en charge par l'écran de sécurité.

Nous en profitons pour souhaiter la bienvenue à Arthur Deloffre (Vozec) qui a rejoint l'équipe de sécurité :)

La version 4.4.9 apporte les améliorations ou corrections de bugs suivantes :

Éviter une réentrance / plantage du serveur côté privé sur les articles contenant du code JS à échapper (bug introduit en 4.4.8)
Erreurs sur la page visiteurs de l'espace privé (?exec=visiteurs, bug introduit en 4.4.8)
Appliquer systématiquement echappe_anti_xss() pour les balises input,form,button,a
Limiter l'usage de données sérialisées dans le filtre table_valeur et l'itérateur DATA, et déprécier cet usage qui sera supprimé en SPIP 5
Sécuriser l'affichage de #URL_SYNDIC sur la page privé d'un site
Lors de l'édition d'un site, vérifier que l'URL de syndication est bien une URL distante
Mise à jour de la librairie svg-sanitizer en 0.22.0
S'assurer que la constante IMAGETYPE_SVG est bien définie
Notices PHP diverses

Mettre à jour en utilisant le spip_loader

Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 6.2.1).

spip_loader est distribué à l'adresse suivante : https://get.spip.net/

Résumé des versions de SPIP

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.9	Maintenance active	PHP 7.4 à PHP 8.5

Pour connaître le détail des versions maintenues :
https://www.spip.net/fr_article6500.html

Pour rappel, le support de la branche 4.3 s'est terminé fin décembre 2025, pensez à mettre à jour vos sites vers la branche 4.4.

Comment être tenu au courant de ces annonces ?

C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :

Seenthis : https://seenthis.net/people/spip
Facebook : https://www.facebook.com/spip.net
Mamot : https://mamot.fr/@spip

Une question, besoin d'aide ?

En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :

La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5

Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

Mise à jour de sécurité : sortie de SPIP 4.4.8

L'équipe maintenance — 2026-02-12T10:39:06Z

Suite au signalement de deux petites failles de sécurité, nous publions la version 4.4.8 de SPIP. Un grand merci à Arthur Deloffre (Vozec), Louka Jacques-Chevallier (Laluka) et Philippe Boussin pour les signalements.

Cette version apporte aussi des améliorations notables des performances de SVP, l'outil d'installation des plugins, plus de détail sur le fil de discussion.

Cette version corrige deux petites failles de type XSS : une dans l'espace privé lors de l'utilisation de balises malicieuses et l'autre dans l'espace public pour certains cas d'usage à la marge.

Encore une fois, merci à Arthur Deloffre (Vozec), Louka Jacques-Chevallier (Laluka) et Philippe Boussin pour les signalements.

Ces failles ne sont pas prises en charge par l'écran de sécurité.

Remarque importante concernant les dans l'espace privé

Dorénavant, un attribut sandbox est ajouté automatiquement aux balises dans l'espace privé, afin d'éviter des failles de type XSS. Par conséquent, certaines ne sont plus affichées correctement dans l'espace privé. Rassurez-vous cela n'a aucun impact dans l'espace public.

Pour les personnes utilisant des services de vidéo externes (comme peertube, youtube ou dailymotion) qui souhaitent rétablir l'affichage de ces vidéos dans l'espace privé, il convient d'installer la dernière version du plugin oEmbed (v3.5.0).

La version 4.4.8 apporte les améliorations ou corrections de bugs suivantes :

Sécuriser l'affichage des iframe éventuelles soit par échappement soit par sandboxing selon les cas
Améliorer la détection de contenus malicieux dans echapper_html_suspect()
La fonction safehtml() accepte un tableau d'options en second argument, vide par défaut, que l'on passe à inc_safehml_dist() (ou fonction surchargée)
Fonction afficher_html_suspect() pour assurer le rendu du HTML suspect échappé
Corrections de deprecated en PHP 8.5+
Éviter une indéfinie lors de l'affectation des doublons documents
Si un pipeline corrompt args/data, le dénoncer dans les logs et en erreur_squelette
prepare_icone_base() envoyait une classe erronée depuis le passage en SVG
Inscription : ne pas générer 2 fois de suite un jeton
Inscription : rétablir les paramètres passés au modèle de notification
Authentification HTTP : assigner l'auteur à la session uniquement si on a pu le récupérer
Affichage de l'ID d'un auteur sur page Visiteurs
Faire fonctionner le sélecteur d'article avec le paramètre limite_branche
En l'absence de date de rédaction antérieure, ne pas pré-remplir avec 0000-00-00 00:00
Sur petit écran, afficher le nom des auteurs dans les listes
Afficher le nombre d'articles dans les différentes listes de la page d'accueil
Chaînes de langue singulier et pluriel sur toutes les listes d'objets qui manquaient
Limiter à 500000 les listes d'articles paginés dans l'espace privé et à 25 pour les articles les plus récents
Sécuriser les paramètres align et class pour les modèles de documents
Prise en charge des documents de type apk
Autorisation de drag'n'drop plus spécifique dans le plan de l'espace privé pour être configurable finement
Options allowIframe et allowIframeURIRegexp permettant d'accepter des iframe, éventuellement sur la base d'une regexp pour l'URL.
inc_safehtml_dist() accepte un tableau d'options en second argument, vide par défaut.
Mise à jour des librairies htmlpurifieur-html5 en 0.1.12 & htmlpurifier en 4.19.0 (corrections diverses & PHP 8.4+)
Correction d'une erreur fatale avec le plugin stat_objets
Fonction svp_depoter_distant_variantes_url() pour générer des variantes d'url pour les dépôts
Actualise les dépôts distants avec les nouvelles variantes d'archives par branches SPIP, plus légers
Correction d'un bug pour les plugins avec extension PHP requise sans compatibilité associée
Optimisations mémoire lors de la lecture des dépôts de plugins
Prendre en charge la constante _DEV_VERSION_SPIP_COMPAT dans la fonction svp_phraser_archives()
Inspecter aussi les balises input, form, button et a dans la sécurisation des contenus
Homogénéiser les détections de la même manière que echapper_html_suspect() du core
Utiliser les fonctions afficher_html_suspect() et is_html_safe()
Suppression des fichiers backend-breves.html et breve.html (intégrés au plugin Brèves)

Mettre à jour en utilisant le spip_loader

Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (version 6.2.1).

spip_loader est distribué à l'adresse suivante : https://get.spip.net/

Résumé des versions de SPIP

Branche	Version	Suivi	Compatibilité PHP
SPIP 4.4	4.4.8	Maintenance active	PHP 7.4 à PHP 8.5

Pour connaître le détail des versions maintenues :
https://www.spip.net/fr_article6500.html

Pour rappel, le support de la branche 4.3 s'est terminé fin décembre 2025, pensez à mettre à jour vos sites vers la branche 4.4.

Comment être tenu au courant de ces annonces ?

C'est simple, inscrivez-vous sur la mailing liste https://discuter.spip.net/c/spip-ann/13

Bien sûr, les réseaux sociaux sont de la partie :

Seenthis : https://seenthis.net/people/spip
Facebook : https://www.facebook.com/spip.net
Mamot : https://mamot.fr/@spip

Une question, besoin d'aide ?

En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions https://irc.spip.net ou sur notre serveur Discord.

Vous pouvez aussi poster un message et échanger sur :

La liste des utilisateurs et utilisatrices https://discuter.spip.net/c/spip/6
La liste du développement spip-dev https://discuter.spip.net/c/spip-dev/5

Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à securite@spip.net.

SPIP, une retrospective 2025

2025-12-31T15:47:58Z

Un petit retour sur l'année qui vient de passer.

SPIP est toujours là, libre et gratuit, sans plugin premium et développé avec tendresse par une petite communauté de bénévoles. On est motivées !

SPIP toujours à jour

Des petites mises à jour, mais souvent !

L'équipe de maintenance a tenu son pari, un gros travail a été fourni pour intégrer les correctifs de bugs et les évolutions de PHP régulièrement, en plus des mise à jour de sécurité : une version de maintenance est sortie quasiment tous les deux mois.

Le SPIP Loader a été refondu pour être super efficace, il permet maintenant une mise à jour en quelques secondes. Yeah !!!

Quelques nouveautés techniques de 2025

Mise en place de Continous Intégration (CI)
https://discuter.spip.net/t/mise-en-place-de-ci-continuous-integration/186242

SPIP et Docker :
https://discuter.spip.net/t/spip-et-docker/186777

Flex (plugin composer) : son rôle et sa fonction dans SPIP :
https://discuter.spip.net/t/flex-son-role-et-sa-fonction-dans-spip/186622

Saisies version 6
https://discuter.spip.net/t/sortie-de-saisies-v6/194232

Une communauté active

La communauté SPIP s'est retrouvé à Marseille en mars 2025. Plein de projets dans la tête !
Un petit bilan à lire sur Un ch'ti bilan de la rencontre SPIP à Marseille de mars 2025
On se voit en 2026 ?

Nos 25 ans en juillet 2026

SPIP soufflera ses 25 bougies en juillet 2026, on vous prépare une belle surprise :)

Retrouvez toutes les infos dans les gazettes :
Gazette

Gazette aléatoire n°33

jeanmarie — 2025-12-29T19:35:28Z

Équipe maintenance et architecture

SPIP 5 pour les 25 ans !

Initialement prévue pour janvier prochain, l'équipe maintenance a décidé de décaler la sortie de SPIP 5 en juillet 2026. Cette date coïncide avec les 25 ans de la 1^re version de SPIP, quel beau cadeau !

– https://discuter.spip.net/t/spip-5-pour-les-25-ans/194724

SPIP 4.4.7, mise à jour de maintenance

Voici votre dose bimestrielle de SPIP ! La version 4.4.7 sort en décembre car on n'avait pas grand chose à vous proposer en novembre :)

– Mise à jour de maintenance : sortie de SPIP 4.4.7

Vie de la communauté

Des étiquettes sur les fils de discussion

On en avait parlé dans une précédente gazette, on en remet une couche maintenant que c'est bien en place : les étiquettes sur Discuter permettent de filtrer les fils de discussion pour retrouver des messages selon des thématiques définies. En plus des plugins, on y retrouve maintenant les hébergeurs et d'autres thématiques seront ajoutées (type d'erreurs...)

C'est un outil très utile pour savoir si notre question n'a pas déjà été posée voir même notre problème résolu.

– La liste des étiquettes : https://discuter.spip.net/tags

Équipe documentation

Critère `{virtuel}`

Le critère {virtuel} d'une boucle ARTICLES permet de ne retenir que les articles virtuels (qui redirigent vers une autre url).

– https://www.spip.net/fr_article7117.html

Balise `#VIRTUEL`

Cette balise renvoie la valeur du champ de redirection saisi pour un article (cette saisie se fait dans la colonne secondaire de la page d'édition d'un article).

– https://www.spip.net/fr_article7116.html

Archive tutoriel

Participer à la vie de la communauté, c'est aussi écrire des tutoriels, par exemple après avoir reçu de l'aide sur les forums, pour que ça puisse profiter à toutes et tous.

Réaliser un champ de formulaire avec autocomplétion avec jQuery UI
– https://contrib.spip.net/Realiser-un-champ-de-formulaire-avec-autocompletion

Du côté des plugins

Sortie de Saisies v6

La version 6 de Saisies vient de sortir, retrouvez l'annonce complète sur Discuter.

– https://discuter.spip.net/t/sortie-de-saisies-v6/194232

Plugin Rebonds, gestion des bounces pour Newsletter

Le plugin Rebonds vient en complément du plugin Mailshot pour traiter les erreurs SMTP (rebonds ou bounces) lors de l'envoi des info-lettres.

– https://contrib.spip.net/Rebonds-5608

Dates création, modification et plus

Un plugin qui ajoute une date de création et une date de modification sur tous les objets éditoriaux.

– https://contrib.spip.net/Dates-creation-modification-et-plus

Saisie API Adresse Data Gouv

Proposer dans vos formulaires un champs pour que le visiteur tape une adresse avec autocomplétion de cette dernière depuis l'API de data.gouv.fr

– https://contrib.spip.net/Saisie-API-Adresse-Data-Gouv

Formidable SMS

Le plugin Formidable SMS permet d'envoyer des SMS lors de la soumission d'un formulaire créé avec le plugin Formidable. Il s'appuie sur le plugin SMS.

– https://contrib.spip.net/Formidable-SMS

Transparence IA

Le plugin Transparence IA vous permet d'être transparent avec les internautes sur l'utilisation des outils d'intelligence artificielle générative.

– https://contrib.spip.net/Transparence-IA

MajPlugins

Automatisation de la mise à jour des plugins SPIP (actifs et non verrouillés) en complément du plugin SVP de la dist. Le traitement est lancé par le Cron SPIP et reprend uniquement la fonctionnalité de mise à jour (pas de désactivation ni de désinstallation).

– https://contrib.spip.net/MajPlugins

Comptes expirables

Poser des dates d'expiration aux comptes utilisateurs

– https://contrib.spip.net/Comptes-expirables

Du côté des squelettes graphiques

Html5up Future Imperfect

Adaptation pour SPIP du squelette « Future Imperfect » de html5up.

– https://contrib.spip.net/Html5up-Future-Imperfect-5540

Thème Miller

Pour réaliser un site personnel simple

– https://contrib.spip.net/Theme-Miller

Autre contribution

Script Grafana K6 pour un test de charge d'un site web sous SPIP

Grafana K6 est un outil de test de charge. C'est un outil en ligne de commande, qui est gratuit et open source et qui peut être installé sur Windows, Mac et Linux. Il permet d'effectuer des requêtes http, en précisant le nombre d'utilisateurs virtuels, le nombre d'itérations, etc.

https://contrib.spip.net/Script-Grafana-K6-pour-un-test-de-charge-d-un-site-web

Trucs & astuces

Déplacer le contenu de sous-rubriques vers leur secteur

– https://discuter.spip.net/t/resolu-deplacer-le-contenu-de-sous-rubriques-vers-leur-secteur/194643

Menu avec des ancres vers les articles d'une page sommaire

– https://discuter.spip.net/t/resolu-menu-avec-des-ancres-vers-les-articles-dune-page-sommaire/194335

Quel critère de boucle article pour exclure les articles virtuels de redirection ?

https://discuter.spip.net/t/resolu-quel-critere-de-boucle-article-pour-exclure-les-articles-virtuels-de-redirection/190266

Afficher uniquement les mots-clés liés à un article publié

– https://discuter.spip.net/t/resolu-afficher-uniquement-les-mots-cles-lies-a-un-article-publie/193080

Plein d'autres astuces par ici : https://discuter.spip.net/tag/astuces

SPIP Blog

Mise à jour de sécurité : sortie de SPIP 4.4.14

Mettre à jour en utilisant le spip_loader

Résumé des versions de SPIP

Une question, besoin d'aide ?

Gazette aléatoire n°34

Équipe maintenance et architecture

Vie de la communauté

Équipe documentation

Du côté des plugins

Des pétitions avec le plugin Formidable

Rubrique trucs & astuces

Chez les copain·nes

Mise à jour de sécurité : sortie de SPIP 4.4.13

Mettre à jour en utilisant le spip_loader

Résumé des versions de SPIP

Comment être tenu au courant de ces annonces ?

Une question, besoin d'aide ?

Mise à jour corrective : sortie de SPIP 4.4.11

Mettre à jour en utilisant le spip_loader

Résumé des versions de SPIP

Comment être tenu au courant de ces annonces ?

Une question, besoin d'aide ?

Mise à jour de sécurité : sortie de SPIP 4.4.10

Correction des failles de sécurité dans 4 plugins

Mettre à jour en utilisant le spip_loader

Résumé des versions de SPIP

Comment être tenu au courant de ces annonces ?

Une question, besoin d'aide ?

Formation programmation orientée objet en PHP

Formation programmation orienté objet en PHP

Modalités pratiques

Mise à jour de sécurité : sortie de SPIP 4.4.9

Mettre à jour en utilisant le spip_loader

Résumé des versions de SPIP

Comment être tenu au courant de ces annonces ?

Une question, besoin d'aide ?

Mise à jour de sécurité : sortie de SPIP 4.4.8

Mettre à jour en utilisant le spip_loader

Résumé des versions de SPIP

Comment être tenu au courant de ces annonces ?

Une question, besoin d'aide ?

SPIP, une retrospective 2025

SPIP toujours à jour

Quelques nouveautés techniques de 2025

Une communauté active

Nos 25 ans en juillet 2026

Gazette aléatoire n°33

Équipe maintenance et architecture

SPIP 5 pour les 25 ans !

SPIP 4.4.7, mise à jour de maintenance

Vie de la communauté

Des étiquettes sur les fils de discussion

Équipe documentation

Critère {virtuel}

Balise #VIRTUEL

Archive tutoriel

Du côté des plugins

Sortie de Saisies v6

Plugin Rebonds, gestion des bounces pour Newsletter

Dates création, modification et plus

Saisie API Adresse Data Gouv

Formidable SMS

Transparence IA

MajPlugins

Comptes expirables

Du côté des squelettes graphiques

Html5up Future Imperfect

Thème Miller

Autre contribution

Script Grafana K6 pour un test de charge d'un site web sous SPIP

Trucs & astuces

Déplacer le contenu de sous-rubriques vers leur secteur

Menu avec des ancres vers les articles d'une page sommaire

Quel critère de boucle article pour exclure les articles virtuels de redirection ?

Afficher uniquement les mots-clés liés à un article publié

Chez les copainnes

Critère `{virtuel}`

Balise `#VIRTUEL`