Important : sorties de saisies 6.4.0 & formidable 7.7.0 (potentielle faille de sécurité)

Général
,
1

Bonjour tout le monde,

différents failles dans SPIP ces derniers temps (corrigées dans les versions de début septembre) ont fait apparaitre de potentielle failles dans saisies.

Je dis bien potentielle car pour l’heure nous n’avons pas trouvé de mécanisme possible d’exploitation (sauf si l’on fait appel à #GENERER_SAISIES en dehors d’un formulaire CVT, ce qui a priori est rare). Mais disons que certaines constructions internes à saisies ressemblaient à des constructions problématiques dans SPIP.

Bref, par mesure de précaution nous venons de sortir saisies 6.4.0 et formidable 7.7.0 qui s’y adapte. Je conseille fortement de mettre à jour dès que possible.

Les changements qui ont nécessaires pour couvrir ces failles potentielles sont détaillées dans ces 2 commits :

Ces changements ont des conséquent dans 2 cas :

  • premier commit : si une personne a surchargé (ce que je DECONSEILLE FORTEMENT → me contacter pour répondre autrement au besoin) les saisies fieldset ou conteneur_inline : adapter en fonction du premier commit
  • pour les gens qui personnalisent les boutons de validation :
    • par définition de l’option globale squelette_boutons → utiliser à la place boutons_presentation qui prend comme valeur un suffix du chemin formulaires/inc-saisies-cvt-boutons-
    • par surcharge de formulaires/inc-saisies-cvt-boutons.html → remplacer par formulaires/inc-saisies-cvt-boutons-defaut.html ou mieu, utiliser l’option boutons_presentations

Je n’ai vu aucun cas d’usage sur git.spip.net

Ces modifications impliquent des ajustements dans formidable. Par conséquent les personnes qui surchargeaint formulaires/inc-formidable-boutons.html devront surcharger formulaires/inc-saisies-cvt-boutons-formidable.html. (Mais encore une fois, les surcharges c’est risquer : si vous êtes dans le cas, me signaler et ont trouvera une solution plus perenne).

6 « J'aime »
2

merci @maieul pour le suivi. Je suis de ceux qui ont surchargé cet inclure.

Petite question : cette option boutons_presentation n’est pas accessible à la configuration [options globales] depuis formidable ; mais uniquement via le flux saisies ; c’est bien ça ?

3

Petite question : cette option boutons_presentation n’est pas accessible à la configuration [options globales] depuis formidable ; mais uniquement via le flux saisies ; c’est bien ça ?

tout à fait ; je ne pense pas que cela doive relever de formidable de proposer toutes les variantes, mais ce serait possibles.

pour moi la vrai question est : pourquoi as tu besoin de surcharger ? Est-ce un manque dans formidable ? on pourrait ajouter des options complémentaires

4

C’est un formulaire personnalisé et un peu complexe qui affiche une prévisualisation (estimatif de devis lui-même sous forme de saisie perso) et où la valeur du bouton submit « monte des échelons » progressifs pour afficher progressivement de nouvelles options (et du coup plusieurs boutons).

5

on en discuter sur discord.

6

Merci pour la maintenance !

2 « J'aime »
7

Ditto !
Merci @maieul