https://blog.spip.net/ fr SPIP - www.spip.net https://blog.spip.net/local/cache-vignettes/L144xH144/siteon0-2c919.png?1769418394 https://blog.spip.net/ 144 144 https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-23.html https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-23.html 2026-09-02T12:30:29Z text/html fr L'équipe maintenance <p>La version 4.4.23 corrige une faille de sécurité et un bug introduit dans la version 4.4.22 qui pouvait rendre le site public dysfonctionnel dans certains cas. <br class='autobr' /> Cette version corrige une faille de type élévation de privilèges permettant d'accéder à une RCE. Nous remercions l'ANSSI et 0xkidz pour les signalements. <br class='autobr' /> Ces failles ne sont pas prises en charge par l'écran de sécurité. <br class='autobr' /> La version 4.4.23 apporte les améliorations ou corrections de bugs suivantes : si le texte est plus long que (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/spip-critical-02-19998.png?1788351220' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.23 corrige une faille de sécurité et un bug introduit dans la version 4.4.22 qui pouvait rendre le site public dysfonctionnel dans certains cas.</p></div> <div class='rss_texte'><p>Cette version corrige une faille de type élévation de privilèges permettant d'accéder à une RCE. Nous remercions l'<a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/declaration-de-vulnerabilit%C3%A9s/" class="spip_out" rel="external">ANSSI</a> et 0xkidz pour les signalements.</p> <p><strong>Ces failles ne sont pas prises en charge par l'écran de sécurité</strong>.</p> <p>La version 4.4.23 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> si le texte est plus long que 8ko on échappe tous les <code class='spip_code spip_code_inline' dir='ltr'><</code> car on n'est pas certain que le collecteur va trouver tous les modèles</li><li> les modèles interdits sont bloqués de manière plus efficace</li><li> ne pas interrompre la recherche sur un <code class='spip_code spip_code_inline' dir='ltr'>preg_match</code> échoué, cela peut venir d'une erreur de <code class='spip_code spip_code_inline' dir='ltr'>preg</code></li><li> la modification d'un mot de passe via <code class='spip_code spip_code_inline' dir='ltr'>id_auteur</code> nécessite une autorisation</li><li> ajout d'une autorisation sur formulaire de test de bigup</li><li> nettoyage plus efficace des <code class='spip_code spip_code_inline' dir='ltr'><form></code> sur le contenu de la prévisualisation des forums</li><li> mise en place d'une longueur maximum par défaut des messages de forum</li><li> ajout d'une autorisation sur les forums privés et sécuriser la prévisualisation comme sur les forums publics</li><li> vérifier la galerie fournie dans le <code class='spip_code spip_code_inline' dir='ltr'>#ENV</code> et n'accepter que des choses du type <code class='spip_code spip_code_inline' dir='ltr'>prive/squelettes/inclure/mediatheque-xxx</code></li></ul><h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.23.zip">4.4.23</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p <p> </p> <h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-22.html https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-22.html 2026-09-01T11:01:44Z text/html fr L'équipe maintenance <p>La version 4.4.22 corrige plusieurs failles de sécurité. Elle apporte également une amélioration pour éviter que le cache ne soit empoisonné avec des tentatives d'exploitation des failles de SPIP 4.4.19 et SPIP 4.4.20, ce qui peut provoquer des fausses alertes de sécurité chez certains hébergeurs. <br class='autobr' /> Cette version corrige deux RCE préauthentification et une faille mineure favorisant les tentatives de phishing. Nous remercions Glop, l'ANSSI et Jules (jvoisin) pour les signalements. <br class='autobr' /> Ces (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/spip-critical-04-7dd99-b66f0-b94fe.png?1788255261' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.22 corrige plusieurs failles de sécurité. Elle apporte également une amélioration pour éviter que le cache ne soit empoisonné avec des tentatives d'exploitation des failles de SPIP 4.4.19 et SPIP 4.4.20, ce qui peut provoquer des fausses alertes de sécurité chez certains hébergeurs.</p></div> <div class='rss_texte'><p>Cette version corrige deux RCE préauthentification et une faille mineure favorisant les tentatives de phishing. Nous remercions Glop, l'<a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/declaration-de-vulnerabilit%C3%A9s/" class="spip_out" rel="external">ANSSI</a> et Jules (jvoisin) pour les signalements.</p> <p><strong>Ces failles ne sont pas prises en charge par l'écran de sécurité</strong>.</p> <p>Il est impératif de mettre à jour très rapidement votre SPIP, l'expérience nous montrant qu'en raison de la montée en puissance de l'IA, les failles peuvent être exploitées très rapidement.</p> <p>Cette version évite également d'écrire dans les fichiers de cache de SPIP différentes tentatives infructueuses d'exploitation des failles de SPIP 4.4.19 et 4.4.20. Si votre hébergeur vous signale du code malveillant dans le dossier de cache, vous pouvez vider le cache du site, et les signalements ne devraient plus revenir.</p> <p>La version 4.4.22 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> le formulaire d'édition d'URL personnalisée est protégé par une autorisation spécifique. Cela ne devrait pas impacter le fonctionnement des sites sauf cas particulier de workflow éditorial<small class="fine d-inline"> </small>; d'autres contrôles de fonctionnement ont été ajouté à ce formulaire</li><li> le formulaire d'ajout de documents de l'espace privé est également protégé par une autorisation spécifique. Là encore cela ne devrait pas impacter le fonctionnement des sites, sauf dans le cas où le formulaire serait utilisé sur le site public, auquel cas il faudra surcharger l'autorisation par défaut.</li><li> une gestion plus sécurisée de l'entête <code class='spip_code spip_code_inline' dir='ltr'>X-Forwarded-Host</code>. Si votre serveur HTTP reçoit cet entête et que son utilisation repose sur SPIP, vous devez autoriser les domaines acceptés dans l'entête via la constante <code class='spip_code spip_code_inline' dir='ltr'>_ALLOWED_FORWARDED_HOST</code></li><li> un mécanisme d'autorisation au cas par cas des modèles dans les forums et contribution publique, via la constante <code class='spip_code spip_code_inline' dir='ltr'>_MODELES_PUBLICS_AUTORISES</code> qui remplace la constante <code class='spip_code spip_code_inline' dir='ltr'>_FORUM_INTERDIRE_MODELES</code></li><li> la signature des filtres de squelettes pour renforcer la protection contre des tentatives d'injection. Les plugins <a href="https://plugins.spip.net/lesscss" class="spip_out" rel="external">less-css</a> et <a href="https://plugins.spip.net/inclureajaxload.html" class="spip_out" rel="external">inclure-ajaxload</a> doivent être mis à jour pour continuer à fonctionner correctement</li><li> une protection contre l'empoisonnement des caches avec les tentatives d'exploitation des failles pré 4.4.21</li><li> une amélioration de la détection des directives header</li><li> une meilleure protection des variables d'env passées dans les inclusions</li><li> une gestion améliorée de l'autosave de formulaires, qui sont désormais stockés en JSON dans la session</li><li> les URLs de reset de mot de passe sont désormais valides uniquement pour le domaine sur lequel elles ont été envoyées. Si vous gérez un site multidomaines, vous devez faire attention aux éventuelles redirections de la page spip_pass</li><li> le raccourci <code class='spip_code spip_code_inline' dir='ltr'><cadre></code> n'est plus interprété dans les titres et autres champs inlines.</li><li> Appliquer <code class='spip_code spip_code_inline' dir='ltr'>strip_tags()</code> sur le champ <code class='spip_code spip_code_inline' dir='ltr'>nom_site</code> des forums qui n'attend aucun HTML</li><li> Appliquer les traitements forums (<code class='spip_code spip_code_inline' dir='ltr'>#TEXTE</code>, <code class='spip_code spip_code_inline' dir='ltr'>#TITRE</code>, <code class='spip_code spip_code_inline' dir='ltr'>#NOM_SITE</code> & <code class='spip_code spip_code_inline' dir='ltr'>#URL_SITE</code>) à la prévisualisation des messages de forum</li><li> Éviter des erreurs fatales sur certains filtres images appelées sur des fichiers <code class='spip_code spip_code_inline' dir='ltr'>.svg</code></li><li> Corrections de l'interface privée sur petit écran (sur les listes de liaisons comme auteurs ou mots clés)</li><li> Ajout d'une fonction <code class='spip_code spip_code_inline' dir='ltr'>urls_type_objet_valide()</code> pour vérifier si le type d'objet est licite</li></ul><h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.22.zip">4.4.22</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p <p> </p> <h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-21.html https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-21.html 2026-08-20T12:09:12Z text/html fr L'équipe maintenance <p>La version 4.4.21 corrige une faille de sécurité signalée anonymement via l'ANSSI. <br class='autobr' /> Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche la version 4.4.20 de SPIP. <br class='autobr' /> Cette faille n'est pas prise en charge par l'écran de sécurité. <br class='autobr' /> Il est impératif de mettre très rapidement votre site à jour, des tentatives d'exploitation de la faille ont déjà été constatées dans la nature. <br class='autobr' /> La version 4.4.21 apporte les améliorations ou corrections de (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/spip-warning-4-cf7d9.png?1787226999' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.21 corrige une faille de sécurité signalée anonymement <a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/declaration-de-vulnerabilit%C3%A9s/" class="spip_out" rel="external">via l'ANSSI</a>.</p></div> <div class='rss_texte'><p>Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche la version 4.4.20 de SPIP.</p> <p><strong>Cette faille n'est pas prise en charge par l'écran de sécurité</strong>.</p> <p>Il est impératif de mettre très rapidement votre site à jour, des tentatives d'exploitation de la faille ont déjà été constatées dans la nature.</p> <p>La version 4.4.21 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> utiliser <code class='spip_code spip_code_inline' dir='ltr'>date()</code> pour émuler <code class='spip_code spip_code_inline' dir='ltr'>DATE_FORMAT()</code> en sqlite</li><li> faire fonctionner <code class='spip_code spip_code_inline' dir='ltr'>titre REGEXP '^$'</code> en sqlite</li><li> autoriser la création du password d'un nouvel auteur</li><li> simplifier <code class='spip_code spip_code_inline' dir='ltr'>attribut_url()</code></li><li> compléter <code class='spip_code spip_code_inline' dir='ltr'>safe_export_env()</code> pour traiter aussi les clés de tableaux</li><li> ne pas capturer des headers en dehors de cas prévus (issus de la balise <code class='spip_code spip_code_inline' dir='ltr'>#HTTP_HEADER</code> notamment)</li><li> inclusion manquante pour <code class='spip_code spip_code_inline' dir='ltr'>svg_charger</code> ou <code class='spip_code spip_code_inline' dir='ltr'>svg_ajouter_background</code></li></ul><h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.21.zip">4.4.21</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p <p> </p> <h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-20.html https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-20.html 2026-08-17T10:27:38Z text/html fr L'équipe maintenance <p>La version 4.4.20 corrige une faille de sécurité signalée anonymement via l'ANSSI. <br class='autobr' /> Un grand merci à Glop pour son aide à l'analyse et au correctif de la faille. <br class='autobr' /> Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche toutes les versions de SPIP. <br class='autobr' /> Cette faille n'est pas prise en charge par l'écran de sécurité. <br class='autobr' /> Il est impératif de mettre très rapidement votre site à jour, des tentatives d'exploitation de la faille ont déjà été (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/patron-logo-4.2-gray-2-2-2-2-ef39a.png?1786956614' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.20 corrige une faille de sécurité signalée anonymement <a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/declaration-de-vulnerabilit%C3%A9s/" class="spip_out" rel="external">via l'ANSSI</a>.</p> <p>Un grand merci à Glop pour son aide à l'analyse et au correctif de la faille.</p></div> <div class='rss_texte'><p>Cette version corrige une vulnérabilité universelle (sans conditions) pré-authentification RCE qui touche toutes les versions de SPIP.</p> <p><strong>Cette faille n'est pas prise en charge par l'écran de sécurité</strong>.</p> <p>Il est impératif de mettre très rapidement votre site à jour, des tentatives d'exploitation de la faille ont déjà été constatées dans la nature.</p> <p>La version 4.4.20 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> Ne pas redéfinir <code class='spip_code spip_code_inline' dir='ltr'>spip_interdire_cache</code> (pouvant arriver sur des traitements longs, spécifiques mysql)</li><li> Bigup : correction d'un bug lors du redimensionnement des images à l'upload lorsqu'elles ne contenaient aucun exif</li><li> Dist : la page identifiants migre *vraiment* dans le repo prive</li><li> Dist : ajout du link rel vers le flux RSS de la recherche dans le head</li></ul><h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.20.zip">4.4.20</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p<h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Mise-a-jour-corrective-sortie-de-SPIP-4-4-19.html https://blog.spip.net/Mise-a-jour-corrective-sortie-de-SPIP-4-4-19.html 2026-08-12T09:34:44Z text/html fr L'équipe maintenance <p>La version 4.4.19 corrige quelques bugs introduits par la version 4.4.18, notamment un qui cassait la procédure de rappel de mot de passe. <br class='autobr' /> La version 4.4.19 apporte les améliorations ou corrections de bugs suivantes : Le bouton «<small class="fine d-inline"> </small>Réinitialiser la liste des tâches<small class="fine d-inline"> </small>» doit recharger le bloc principal de la page Lever un autoriser_exception() avant de modifier le mot de passe Si pas de meta version_installee déclencher un upgrade à partir d'une version arbitraire Ne pas générer de timeout (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/spip-love-7f504.png?1786526924' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.19 corrige quelques bugs introduits par la version 4.4.18, notamment un qui cassait la procédure de rappel de mot de passe.</p></div> <div class='rss_texte'><p>La version 4.4.19 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> Le bouton «<small class="fine d-inline"> </small>Réinitialiser la liste des tâches<small class="fine d-inline"> </small>» doit recharger le bloc principal de la page</li><li> Lever un <code class='spip_code spip_code_inline' dir='ltr'>autoriser_exception()</code> avant de modifier le mot de passe</li><li> Si pas de meta <code class='spip_code spip_code_inline' dir='ltr'>version_installee</code> déclencher un upgrade à partir d'une version arbitraire</li><li> Ne pas générer de timeout sur l'update des signature de jobs</li><li> S'assurer que <code class='spip_code spip_code_inline' dir='ltr'>autoriser()</code> est bien chargé dans la réinitialisation de mot de passe</li><li> Le bon niveau de log (et la bonne constante) dans la gestion des tâches de fond</li><li> Correction du lien de documentation dans la page sauvegarder</li><li> Ajout d'une inclusion manquante pour <code class='spip_code spip_code_inline' dir='ltr'>svg_recadrer</code></li></ul><h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.19.zip">4.4.19</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p<h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-18.html https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-18.html 2026-08-10T13:36:09Z text/html fr L'équipe maintenance <p>La version 4.4.18 corrige plusieurs failles de sécurité. Un grand merci à Benoit Hua, ka3n1x (Aurel Azon) & Franck Chevalier pour les signalements. PS : nous avons sauté le numéro de version 4.4.17 parce que 4.4.18 c'est plus mignon :p <br class='autobr' /> Cette version corrige plusieurs failles de sécurité : une injection SQL non authentifiée un accès non autorisé à l'API editer_objet suite à une injection SQL une RCE via spip_jobs suite à une injection SQL un accès non autorisé à la modification de (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/patron-logo-4.2-gray-2-2-2-8ce9e.png?1786355559' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.18 corrige plusieurs failles de sécurité. Un grand merci à Benoit Hua, ka3n1x (Aurel Azon) & Franck Chevalier pour les signalements. PS : nous avons sauté le numéro de version 4.4.17 parce que 4.4.18 c'est plus mignon :p</p></div> <div class='rss_texte'><p>Cette version corrige plusieurs failles de sécurité :</p> <ul class="spip" role="list"><li> une injection SQL non authentifiée</li><li> un accès non autorisé à l'API <code class='spip_code spip_code_inline' dir='ltr'>editer_objet</code> suite à une injection SQL</li><li> une RCE via <code class='spip_code spip_code_inline' dir='ltr'>spip_jobs</code> suite à une injection SQL</li><li> un accès non autorisé à la modification de compte auteur suite à une injection SQL</li><li> une injection de code dans l'espace privé</li><li> une SSRF via redirection dans la récupération de contenu distant</li></ul> <p><strong>Ces failles ne sont pas prises en charge par l'écran de sécurité</strong>.</p> <p>La version 4.4.18 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> Vérifier les autorisations de modifier login et pass dans <code class='spip_code spip_code_inline' dir='ltr'>auteur_instituer()</code> car ce sont bien des informations sensibles</li><li> <code class='spip_code spip_code_inline' dir='ltr'>find_in_path()</code> refuse les requêtes contenant un <code class='spip_code spip_code_inline' dir='ltr'>../</code> dans le chemin, cela fait sortir du <code class='spip_code spip_code_inline' dir='ltr'>document_root</code></li><li> L'échappement SQL appliqué sur un champ <code class='spip_code spip_code_inline' dir='ltr'>date</code> ignore uniquement la fonction <code class='spip_code spip_code_inline' dir='ltr'>NOW()</code></li><li> Le serveur SQL d'une boucle DATA lui est spécifique dans le calcul des critères</li><li> L'appel en POST sur les actions <code class='spip_code spip_code_inline' dir='ltr'>editer_xxx</code> est déprécié, si on l'utilise il passe par une autorisation explicite</li><li> Une clé de menu est uniquement scalaire</li><li> Désactiver les modèles dans le texte d'un commentaire de forum</li><li> Valider l'URL distante à chaque syndication</li><li> Appliquer aux balises <code class='spip_code spip_code_inline' dir='ltr'><pre></code> le même traitement qu'aux balises <code class='spip_code spip_code_inline' dir='ltr'><code></code> dans l'espace privé et dans le public en mode parano</li><li> Ajout d'une signature sur les jobs</li><li> Ajout de <code class='spip_code spip_code_inline' dir='ltr'>SpipCles::secret_des_actions()</code></li><li> Ajout de la méthode <code class='spip_code spip_code_inline' dir='ltr'>remplacer()</code> pour les collecteurs (AbstractCollecteur)</li><li> Ajout d'un pipeline qui permet d'informer les plugins d'une déconnexion</li><li> <code class='spip_code spip_code_inline' dir='ltr'>recuperer_url()</code> supporte une option <code class='spip_code spip_code_inline' dir='ltr'>callback_valider_url</code></li><li> <code class='spip_code spip_code_inline' dir='ltr'>|chercher_rubrique{}</code> appelé avec <code class='spip_code spip_code_inline' dir='ltr'>actionable=1</code> est déprécié, poste vers l'action <code class='spip_code spip_code_inline' dir='ltr'>instituer_parent_objet</code> et vérifie l'autorisation d'instituer</li><li> <code class='spip_code spip_code_inline' dir='ltr'>distant_trouver_extension_selon_headers()</code> préfère l'extension de l'URL</li><li> Changement de méthode par <code class='spip_code spip_code_inline' dir='ltr'>recuperer_url()</code> en cas de 301/302/303</li><li> Supprimer les <code class='spip_code spip_code_inline' dir='ltr'><template></code> du calcul de l'introduction</li><li> Support des EXIFs sur les images pour corriger le bug d'orientation de certaines images</li><li> Si <code class='spip_code spip_code_inline' dir='ltr'>champs_editable</code> n'est pas défini, ce n'est pas un objet éditorial proprement déclaré</li><li> Réparer le filtre <code class='spip_code spip_code_inline' dir='ltr'>ajax</code> des modèles</li><li> Correction d'affichage du picker en RTL</li><li> En absence de fichier à extraire, il faut passer <code class='spip_code spip_code_inline' dir='ltr'>null</code> à <code class='spip_code spip_code_inline' dir='ltr'>ZipArchive::extractTo</code></li><li> Meilleure qualité des images retaillées côté navigateur</li><li> Orientation EXIF correcte des images retaillées côté navigateur</li><li> La fonction <code class='spip_code spip_code_inline' dir='ltr'>image_oriente_selon_exif()</code> utilise les fonctions du core de <code class='spip_code spip_code_inline' dir='ltr'>inc/exif</code> et on l'utilise au début de chaque filtre</li><li> S'assurer que <code class='spip_code spip_code_inline' dir='ltr'>width</code> et <code class='spip_code spip_code_inline' dir='ltr'>height</code> ont bien une valeur numérique</li><li> Accepter uniquement du png en tant que masque</li><li> S'assurer que la mediabox s'affiche au dessus des éléments en plein écran</li><li> Réparer la syndication de flux RSS</li><li> Ne pas copier le dépôt de plugins <code class='spip_code spip_code_inline' dir='ltr'>principal.xml</code> à la fois en version complète et en version allégée</li></ul> <p>À noter, cette version effectue une mise à jour de la base de données, pensez donc à passer par l'espace privé pour l'effectuer si vous n'utilisez pas <code class='spip_code spip_code_inline' dir='ltr'>spip_loader</code>. Les deux bugs corrigés sur l'orientation des images avec EXIFs pourraient entraîner une rotation pour certaines images existantes si vous utilisiez le redimensionnement automatique lors de l'upload. Vous pouvez rétablir la bonne orientation à l'aide du bouton dédié.</p> <h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.18.zip">4.4.18</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p<h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Gazette-aleatoire-no35.html https://blog.spip.net/Gazette-aleatoire-no35.html 2026-07-08T15:40:45Z text/html fr jeanmarie <p>Sortie de SPIP 4.4.16 <br class='autobr' /> La version 4.4.16 corrige plusieurs failles de sécurité. Mise à jour de sécurité : sortie de SPIP 4.4.16 <br class='autobr' /> Tu es à jour de SPIP<small class="fine d-inline"> </small>? <br class='autobr' /> Un coup d'œil sur les dernières versions de SPIP pour être sûr<span aria-hidden='true'>·</span>e d'être bien à jour. Voir la rubrique Release <br class='autobr' /> Équipe maintenance et architecture <br class='autobr' /> ** Des nouvelles de SPIP 5 <br class='autobr' /> Si la version actuellement en développement de SPIP 5 n'intègre pas de grosses nouveautés fonctionnelles pour les rédacteurices ou pour l'écriture de squelettes, (…)</p> - <a href="https://blog.spip.net/-Gazette-.html" rel="directory">Gazette</a> <div class='rss_texte'><h2 class="h2" id='Sortie-de-SPIP-4-4-16'>Sortie de SPIP 4.4.16</h2> <p>La version 4.4.16 corrige plusieurs failles de sécurité.</p> <ul class="spip" role="list"><li> <a href='https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-16.html' class="spip_in">Mise à jour de sécurité : sortie de SPIP 4.4.16</a></li></ul> <p><strong>Tu es à jour de SPIP<small class="fine d-inline"> </small>?</strong></p> <p>Un coup d'œil sur les dernières versions de SPIP pour être sûr<span aria-hidden='true'>·</span>e d'être bien à jour.</p> <ul class="spip" role="list"><li> <a href='https://blog.spip.net/-Release-.html' class="spip_in">Voir la rubrique Release</a></li></ul><h2 class="h2" id='Equipe-maintenance-et-architecture'>Équipe maintenance et architecture</h2><h3 class="h3"> Des nouvelles de SPIP 5</h3> <p>Si la version actuellement en développement de SPIP 5 n'intègre pas de grosses nouveautés fonctionnelles pour les rédacteurices ou pour l'écriture de squelettes, l'essentiel du travail en cours est dans les coulisses, sur l'architecture du code : grosse refonte du code javascript pour se passer de jQuery, découpage conséquent en dépôts Composer plus autonomes et usage plus approfondi de briques Symfony afin de moderniser le code et faciliter sa maintenance dans le temps.</p> <p>Marcimat a dressé un bilan d'étape autour des évolutions en cours et possibles, et proposé un sondage.</p> <p>Il en ressort que</p> <ul class="spip" role="list"><li> le développement autour des composants Symfony et de la modernisation du code se poursuit</li><li> la publication de SPIP 5, initialement prévue au 1<sup class="typo_exposants">er</sup> juillet 2026 pour les 25 ans de SPIP est reportée en janvier 2027</li><li> le calendrier de support des versions a été mis à jour en conséquence et SPIP 4.4 est maintenue jusque fin 2028.</li></ul><ul class="spip" role="list"><li> <a href="https://www.spip.net/fr_article6500.html" class="spip_out" rel="external">Versions maintenues</a></li><li> <a href="https://discuter.spip.net/t/point-d-etape-spip-5-calendrier/199809" class="spip_out" rel="external">Voir le point d'étape complet</a> <h2 class="h2" id='Equipe-documentation'>Équipe documentation</h2></li></ul><h3 class="h3"> _IS_BOT</h3> <p>Cette constante indique si c'est un robot connu de SPIP qui consulte la page courante.</p> <ul class="spip" role="list"><li> <a href="https://www.spip.net/fr_article7163.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article7163.html</a></li></ul><h3 class="h3"> Migration d'un SPIP 1 ou 2 vers SPIP 3.2.19</h3> <p>Cette documentation concerne le passage d'un SPIP 1 ou 2 vers SPIP 3.2.19</p> <ul class="spip" role="list"><li> <a href="https://www.spip.net/fr_article7338.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article7338.html</a></li></ul><h3 class="h3"> Documenter l'utilisation du plugin avec un <code class='spip_code spip_code_inline' dir='ltr'>README.md</code></h3> <p>Ecrire la documentation d'un plugin avec le fichier <code class='spip_code spip_code_inline' dir='ltr'>README.md</code> créé à la racine du repo du plugin.</p> <ul class="spip" role="list"><li> <a href="https://programmer.spip.net/Documenter-l-utilisation-du-plugin" class="spip_url spip_out auto" rel="nofollow external">https://programmer.spip.net/Documenter-l-utilisation-du-plugin</a></li></ul><h3 class="h3"> La fonction <code class='spip_code spip_code_inline' dir='ltr'>_T</code></h3> <p>La fonction <code class='spip_code spip_code_inline' dir='ltr'>_T</code> fait correspondre à une référence de chaîne de langue sa valeur traduite dans la langue du contexte.</p> <ul class="spip" role="list"><li> <a href="https://programmer.spip.net/La-fonction-_T" class="spip_url spip_out auto" rel="nofollow external">https://programmer.spip.net/La-fonction-_T</a></li></ul><h3 class="h3"> renseigner_document_distant</h3> <p>Un plugin peut avec le pipeline <code class='spip_code spip_code_inline' dir='ltr'>renseigner_document_distant</code> renseigner les informations fichier et mode avant l'analyse et traitement par ce plugin.</p> <ul class="spip" role="list"><li> <a href="https://programmer.spip.net/renseigner_document_distant" class="spip_url spip_out auto" rel="nofollow external">https://programmer.spip.net/renseigner_document_distant</a></li></ul><h3 class="h3"> Déclarer une tâche hors plugin</h3> <p>Il est possible de déclarer une tâche hors plugin, si jamais vous n'avez pas défini de plugin maison pour le squelette de votre site.</p> <ul class="spip" role="list"><li> <a href="https://programmer.spip.net/Declarer-une-tache-hors-plugin" class="spip_url spip_out auto" rel="nofollow external">https://programmer.spip.net/Declarer-une-tache-hors-plugin</a></li></ul><h3 class="h3"> Créer une aide en ligne pour un plugin</h3><ul class="spip" role="list"><li> <a href="https://programmer.spip.net/Creer-une-aide-en-ligne-pour-un-plugin" class="spip_url spip_out auto" rel="nofollow external">https://programmer.spip.net/Creer-une-aide-en-ligne-pour-un-plugin</a></li></ul><h3 class="h3"> Fonction balise_NOM_dyn()</h3> <p>Cette fonction permet d'exécuter les traitements dynamiques à effectuer lorsqu'une balise dynamique est appelée, notamment si un formulaire a été soumis.</p> <ul class="spip" role="list"><li> <a href="https://programmer.spip.net/Fonction-balise_NOM_dyn" class="spip_url spip_out auto" rel="nofollow external">https://programmer.spip.net/Fonction-balise_NOM_dyn</a></li></ul><h2 class="h2" id='Du-cote-des-plugins'>Du côté des plugins</h2><h3 class="h3"> Documentation des modèles</h3> <p>Le plugin Documentation des modèles (modeles_doc) permet de générer automatiquement une documentation technique et fonctionnelle des modèles éditoriaux déclarés sur un site SPIP.</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/Documentation-des-modeles" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/Documentation-des-modeles</a></li></ul><h3 class="h3"> Plugin «<small class="fine d-inline"> </small>URL Racine<small class="fine d-inline"> </small>»</h3> <p>Transformer les URLs du site en chemins absolus depuis la racine du site.</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/Plugin-URL-Racine" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/Plugin-URL-Racine</a></li></ul><h3 class="h3"> Login OAuth2 et OAuth2 Client</h3> <p>OAuth2 permet à un site SPIP d'utiliser des fournisseurs d'identité OAuth2 / OIDC pour authentifier les auteurs dans l'espace privé.</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/Login-OAuth2" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/Login-OAuth2</a></li><li> <a href="https://contrib.spip.net/OAuth2-Client" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/OAuth2-Client</a></li></ul><h3 class="h3"> Plugin SPIP WAF : Web Application Firewall for SPIP</h3> <p>Ce nouveau plugin implémente un pare-feu applicatif web (WAF) qui vise à bloquer les requêtes malveillantes et protéger le site contre le trafic hostile. Pour cela, il analyse chaque requête et utilise des règles qui détectent et bloquent automatiquement les robots.</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/WAF" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/WAF</a></li></ul> <p>et 2 «<small class="fine d-inline"> </small>sous-plugins<small class="fine d-inline"> </small>» à WAF :</p> <ul class="spip" role="list"><li> waf_cpanel <a href="https://git.spip.net/spip-contrib-extensions/waf_cpanel" class="spip_url spip_out auto" rel="nofollow external">https://git.spip.net/spip-contrib-extensions/waf_cpanel</a></li><li> waf_cloudflare <a href="https://git.spip.net/spip-contrib-extensions/waf_cloudflare" class="spip_url spip_out auto" rel="nofollow external">https://git.spip.net/spip-contrib-extensions/waf_cloudflare</a></li></ul><h3 class="h3"> Base de données de test pour SPIP4</h3> <p>Une base de données pour tester rapidement votre SPIP.</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/Base-de-donnees-de-test-pour-SPIP4" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/Base-de-donnees-de-test-pour-SPIP4</a></li><li> <a href="https://discuter.spip.net/t/spip-waf-web-application-firewall-for-spip/198339/" class="spip_out" rel="external">voir la discussion pour plus d'infos</a></li></ul><h3 class="h3"> Image vectorise</h3> <p>Le plugin Image Vectorise propose des filtres de transformation d'images pour convertir des photos bitmap en images vectorielles SVG, en créant au passage un effet artistique plus ou moins prononcé.</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/Image-vectorise-5217" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/Image-vectorise-5217</a></li></ul><h3 class="h3"> Sous-titres</h3> <p>Permet la prise en charge de fichiers de sous-titres (<code class='spip_code spip_code_inline' dir='ltr'>.vtt</code>, <code class='spip_code spip_code_inline' dir='ltr'>.srt</code>, ... ) en tant que documents de la médiathèque.<br class='autobr' /> Le lecteur multimedia <code class='spip_code spip_code_inline' dir='ltr'>mejs</code> (via les modèles <code class='spip_code spip_code_inline' dir='ltr'><embYY></code> ou <code class='spip_code spip_code_inline' dir='ltr'><videoYY></code>) propose l'activation des sous-titres de traduction^[parfois abrégé en <code class='spip_code spip_code_inline' dir='ltr'>CC</code> pour CLOSED CAPTIONS] qui ont été liés à la vidéo YY.<br class='autobr' /> La liaison s'opère d'après une détection automatique en fonction du nom de fichier lors du téléversement, ou bien manuellement via un formulaire.</p> <ul class="spip" role="list"><li> <a href="https://git.spip.net/spip-contrib-extensions/soustitres" class="spip_url spip_out auto" rel="nofollow external">https://git.spip.net/spip-contrib-extensions/soustitres</a></li></ul><h3 class="h3"> Logs vers STDERR</h3> <p>Ce plugin modifie le comportement standard de SPIP en matière de journalisation.</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/Logs-vers-STDERR" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/Logs-vers-STDERR</a></li></ul><h3 class="h3"> LogoPlus</h3> <p>Un plugin pour enrichir l'utilisation des LOGOs</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/LogoPlus" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/LogoPlus</a></li></ul><h2 class="h2" id='Du-cote-des-squelettes-graphiques'>Du côté des squelettes graphiques</h2><h3 class="h3"> Play Bootstrap</h3> <p>Portage du thème Play Bootstrap de UIDeck</p> <ul class="spip" role="list"><li> <a href="https://contrib.spip.net/Play-Bootstrap" class="spip_url spip_out auto" rel="nofollow external">https://contrib.spip.net/Play-Bootstrap</a></li></ul></div> https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-16.html https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-16.html 2026-07-06T13:16:56Z text/html fr L'équipe maintenance <p>La version 4.4.16 corrige plusieurs failles de sécurité. Un grand merci à Glop & JLuc pour les signalements. <br class='autobr' /> Cette version corrige plusieurs failles de sécurité : une stored XSS une injection SQL dans l'espace privé une full path disclosure <br class='autobr' /> Ces failles ne sont pas prises en charge par l'écran de sécurité. <br class='autobr' /> La version 4.4.16 apporte les améliorations ou corrections de bugs suivantes : Utiliser des attributes selector case insensitive sur les a[href*="javascript :"] Nettoyer (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/summer-alternate-7c3e2.png?1783343244' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.16 corrige plusieurs failles de sécurité. Un grand merci à Glop & JLuc pour les signalements.</p></div> <div class='rss_texte'><p>Cette version corrige plusieurs failles de sécurité :</p> <ul class="spip" role="list"><li> une stored XSS</li><li> une injection SQL dans l'espace privé</li><li> une full path disclosure</li></ul> <p><strong>Ces failles ne sont pas prises en charge par l'écran de sécurité</strong>.</p> <p>La version 4.4.16 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> Utiliser des attributes selector case insensitive sur les <code class='spip_code spip_code_inline' dir='ltr'>a[href*="javascript:"]</code></li><li> Nettoyer les valeurs inattendues pour <code class='spip_code spip_code_inline' dir='ltr'>qualifier_lien</code></li><li> Décoder aussi les éventuelles entités html et html5 dans <code class='spip_code spip_code_inline' dir='ltr'>echappe_anti_xss</code></li><li> Enlever la <code class='spip_code spip_code_inline' dir='ltr'>lang</code> avant d'appeler la fonction <code class='spip_code spip_code_inline' dir='ltr'>identifier()</code> du formulaire</li><li> Le 5è paramètre de <code class='spip_code spip_code_inline' dir='ltr'>quete_logo</code> est déprécié depuis SPIP 4.2<small class="fine d-inline"> </small>; le logger</li><li> Logger les dépréciations de <code class='spip_code spip_code_inline' dir='ltr'>_couleur_rgb2hsl</code> et <code class='spip_code spip_code_inline' dir='ltr'>_couleur_hsl2rgb</code></li></ul> <p>Pour information, <a href="https://git.spip.net/spip/spip/-/commit/36e2d0f64e20ce615387a37697052dbca87b7ffc" class="spip_out" rel="external">une nouvelle règle</a> a été ajoutée au fichier <code class='spip_code spip_code_inline' dir='ltr'>htaccess;txt</code> fourni comme modèle avec SPIP, mettez à jour votre fichier <code class='spip_code spip_code_inline' dir='ltr'>.htaccess</code> pour en bénéficier.</p> <h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.16.zip">4.4.16</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p<h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-15.html https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-15.html 2026-05-22T08:11:34Z text/html fr L'équipe maintenance <p>La version 4.4.15 corrige une faille de sécurité de type Open Redirect. Un grand merci à Mi-Landu Germain NGOYI pour le signalement. Cette version répare aussi la fonctionnalité de sauvegarde de la base de données qui était cassée depuis la version 4.4.14. <br class='autobr' /> Cette version corrige une faille de sécurité de type Open Redirect signalée par Mi-Landu Germain NGOYI, encore merci à lui pour le signalement. <br class='autobr' /> Cette faille n'est pas prise en charge par l'écran de sécurité. <br class='autobr' /> La version 4.4.15 (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/summer-alternate2-1faca.png?1779437581' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.15 corrige une faille de sécurité de type Open Redirect. Un grand merci à Mi-Landu Germain NGOYI pour le signalement. Cette version répare aussi la fonctionnalité de sauvegarde de la base de données qui était cassée depuis la version 4.4.14.</p></div> <div class='rss_texte'><p>Cette version corrige une faille de sécurité de type Open Redirect signalée par Mi-Landu Germain NGOYI, encore merci à lui pour le signalement.</p> <p><strong>Cette faille n'est pas prise en charge par l'écran de sécurité</strong>.</p> <p>La version 4.4.15 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> Éviter un open-redirect dans l'action <code class='spip_code spip_code_inline' dir='ltr'>cookie</code></li><li> Réparer la sauvegarde de la base de données</li><li> Si la session est vide, la balise <code class='spip_code spip_code_inline' dir='ltr'>#SESSION</code> doit renvoyer une chaîne vide et non un tableau vide sérialisé, pour pouvoir tester <code class='spip_code spip_code_inline' dir='ltr'>|oui</code> ou <code class='spip_code spip_code_inline' dir='ltr'>|non</code> dessus</li><li> Définir <code class='spip_code spip_code_inline' dir='ltr'>_VAR_MODE</code> si besoin dans <code class='spip_code spip_code_inline' dir='ltr'>minipage</code></li><li> Caster et définir une valeur par défaut si <code class='spip_code spip_code_inline' dir='ltr'>max_execution_time</code> absent afin d'éviter un warning dans les logs des tâches de fond</li></ul><h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.15.zip">4.4.15</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p<h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div> https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-14.html https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-14.html 2026-05-12T09:01:21Z text/html fr L'équipe maintenance <p>La version 4.4.14 apporte des corrections de bugs et corrige deux failles de sécurité. Un grand merci à Louka Jacques-Chevallier (Laluka), Baptiste Rolando, Arthur Deloffre (Vozec), jvoisin et Cezame pour les signalements. <br class='autobr' /> Cette version corrige deux failles de sécurité : une faille de type RCE dans l'espace privé une faille de type RCE dans l'espace public, limitée à l'usage de certaines configurations de nginx <br class='autobr' /> Merci encore à Louka Jacques-Chevallier (Laluka), Baptiste Rolando, Arthur (…)</p> - <a href="https://blog.spip.net/-Release-.html" rel="directory">Release</a> <img src='https://blog.spip.net/local/cache-vignettes/L150xH150/spip-warning-3-94da9.png?1778575847' class='spip_logo spip_logo_right' width='150' height='150' alt="" /> <div class='rss_chapo'><p>La version 4.4.14 apporte des corrections de bugs et corrige deux failles de sécurité. Un grand merci à Louka Jacques-Chevallier (Laluka), Baptiste Rolando, Arthur Deloffre (Vozec), jvoisin et Cezame pour les signalements.</p></div> <div class='rss_texte'><p>Cette version corrige deux failles de sécurité :</p> <ul class="spip" role="list"><li> une faille de type <code class='spip_code spip_code_inline' dir='ltr'>RCE</code> dans l'espace privé</li><li> une faille de type <code class='spip_code spip_code_inline' dir='ltr'>RCE</code> dans l'espace public, limitée à l'usage de certaines configurations de nginx</li></ul> <p>Merci encore à Louka Jacques-Chevallier (Laluka), Baptiste Rolando, Arthur Deloffre (Vozec), jvoisin et Cezame pour les signalements.</p> <p><strong>Ces failles ne sont pas prises en charge par l'écran de sécurité</strong>.</p> <p>La version 4.4.14 apporte les améliorations ou corrections de bugs suivantes :</p> <ul class="spip" role="list"><li> Meilleure sanitisation de <code class='spip_code spip_code_inline' dir='ltr'>HTTP_HOST</code></li><li> Correction de la prise en charge de <code class='spip_code spip_code_inline' dir='ltr'>REMOTE_USER</code> lors de l'utilisation de nginx</li><li> La balise <code class='spip_code spip_code_inline' dir='ltr'>#CHEMIN_IMAGE</code> prend aussi en charge les fichiers avif, webp et jpg</li><li> Les constantes <code class='spip_code spip_code_inline' dir='ltr'>_ROOT_RACINE</code> et <code class='spip_code spip_code_inline' dir='ltr'>_ROOT_RESTREINT</code> sont dépréciées</li><li> Correction du formulaire d'institution d'objet pour les personnes non webmestres avec un objet sans parent</li><li> Correction de la chaîne de langue pour les articles à paraître</li><li> Conditionner l'affichage des liens ical dans Suivre la vie du site</li><li> Déplacement de squelettes dédiés vers les plugins Organiseur & Pétitions (pensez à mettre à jour ces plugins si vous les utilisez)</li><li> Émettre un log lors de l'utilisation de <code class='spip_code spip_code_inline' dir='ltr'>compacte()</code> qui est déprécié depuis longtemps<small class="fine d-inline"> </small>; utiliser <code class='spip_code spip_code_inline' dir='ltr'>minifier()</code></li><li> Dans certains cas avec SVG le filtre <code class='spip_code spip_code_inline' dir='ltr'>svg_filter_sepia</code> est absent et nécessite d'être chargé</li><li> Correction d'un deprecated en PHP 8.5 sur la création d'un message de forum interne</li><li> Certains champs de documents de doivent pas être éditables manuellement</li><li> Correction d'un warning quand un item RSS comporte une balise <code class='spip_code spip_code_inline' dir='ltr'>source</code> auto-fermante</li><li> Réparer le bouton «<small class="fine d-inline"> </small>Tenter une nouvelle récupération<small class="fine d-inline"> </small>» quand un site est en erreur de syndication</li><li> Correction d'un type incorrect dans <code class='spip_code spip_code_inline' dir='ltr'>svp_redirige_boucle</code> créant une erreur fatale en PHP 8.5</li></ul><h2 class="h2" id='Mettre-a-jour-en-utilisant-le-spip_loader'>Mettre à jour en utilisant le spip_loader</h2> <p><p>Vous pouvez aussi mettre à jour au moyen de la dernière version de spip_loader (<strong>version 8.0.5</strong>).</p> <p> <strong>spip_loader</strong> est distribué à l'adresse suivante : <a href="https://get.spip.net/" class="spip_url spip_out auto" rel="nofollow external">https://get.spip.net/</a> </p> <p> Le fichier <code class='spip_code spip_code_inline' dir='ltr'>spip_loader.php</code> est un script compilé dans le format binaire <a href="https://www.php.net/manual/fr/intro.phar.php" class="spip_out" rel="external">phar</a>. Si vous avez besoin de personnaliser l'installation en définissant des constantes, il vous faut créer un fichier de configuration spip_loader_config.php (cf <a href="https://www.spip.net/fr_article5705.html" class="spip_url spip_out auto" rel="nofollow external">https://www.spip.net/fr_article5705.html</a>). </p></p> <h2 class="h2" id='Resume-des-versions-de-SPIP'>Résumé des versions de SPIP</h2><table class="table spip"> <thead> <tr class="row_first"> <th>Branche</th> <th>Version</th> <th>Suivi</th> <th>Compatibilité PHP</th> </tr> </thead> <tbody> <tr class="odd"> <td>SPIP 4.4</td> <td><a class="spip_out" href="https://files.spip.net/spip/archives/spip-v4.4.14.zip">4.4.14</a></td> <td>Maintenance active</td> <td>PHP 7.4 à PHP 8.5</td> </tr> </tbody> </table> <p> Pour connaître le détail des versions maintenues :<br /> <a href="https://www.spip.net/fr_article6500.html" class="spip_url spip_out auto" rel="nofollow external"> https://www.spip.net/fr_article6500.html </a> </p<h2 class="h2" id='Comment-etre-tenu-au-courant-de-ces-annonces'>Comment être tenu au courant de ces annonces<small class="fine d-inline"> </small>?</h2><p> C'est simple, inscrivez-vous sur la mailing liste <a href="https://discuter.spip.net/c/spip-ann/13" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-ann/13</a> </p> <p>Bien sûr, les réseaux sociaux sont de la partie :</p> <ul class="spip" role="list"> <li> Seenthis : <a href="https://seenthis.net/people/spip" class="spip_url spip_out auto" rel="nofollow external">https://seenthis.net/people/spip</a></li> <li> Facebook : <a href="https://www.facebook.com/spip.net" class="spip_url spip_out auto" rel="nofollow external">https://www.facebook.com/spip.net</a></li> <li> Mamot : <a href="https://mamot.fr/@spip" class="spip_url spip_out auto" rel="nofollow external">https://mamot.fr/@spip</a></li> </ul><h2 class="h2" id='Une-question-besoin-d-aide'>Une question, besoin d'aide<small class="fine d-inline"> </small>?</h2><p> En cas de problème ou de difficultés, il y aura certainement quelqu'un pour vous aider sur IRC, n'hésitez pas à venir poser vos questions <a href="https://irc.spip.net" class="spip_url spip_out auto" rel="nofollow external">https://irc.spip.net</a> ou sur <a href="https://discord.gg/bFFgVz2" class="spip_url spip_out auto" rel="nofollow external">notre serveur Discord</a>. </p> <p>Vous pouvez aussi poster un message et échanger sur :</p> <ul class="spip" role="list"> <li> La liste des utilisateurs et utilisatrices <a href="https://discuter.spip.net/c/spip/6" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip/6</a></li> <li> La liste du développement spip-dev <a href="https://discuter.spip.net/c/spip-dev/5" class="spip_url spip_out auto" rel="nofollow external">https://discuter.spip.net/c/spip-dev/5</a> </li> </ul> <p> Nous vous rappelons que pour signaler une faille, il suffit d'envoyer un mail à <a href="mailto:securite@spip.net" class="spip_mail">securite@spip.net</a>. </p></div>