A la suite de ma mise en jour en SPIP 3.0.16
dans la partie "administration", j'ai un message
Problème de sécurité : register_globals=on; dans php.ini à corriger.
c'est grave docteur ?
jacques
Bonjour,
Concernant la directive "register_globals" (éditable dans le fichier de configuration "php.ini" au niveau du serveur), celle-ci représente une importante faille de sécurité (injection de valeurs et détournement de variables $_GET et $_POST par l'internaute notamment) pour l'utilisation des scripts, ci-ceux-ci n'ont pas été adaptés en conséquent (surtout, s'ils n'ont pas été conçus "proprement" !).
Voir la doc officielle : http://www.php.net/manual/fr/ini.core.php#ini.register-globals.
Il n'est donc pas étonnant que SPIP lance une alerte si cette directive est activée.
Tu sais ce qu'il te reste à faire (la désactiver).
Cordialement,
Cédric JOUANNIN
-----Message d'origine-----
De : jacangers [mailto:plard.jacques@gmail.com]
Envoyé : vendredi 13 juin 2014 14:00
À : spip@rezo.net
Objet : [Spip] register_globals
A la suite de ma mise en jour en SPIP 3.0.16
dans la partie "administration", j'ai un message
Problème de sécurité : register_globals=on; dans php.ini à corriger.
c'est grave docteur ?
jacques
_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
http://archives.rezo.net/spip.mbox/
Documentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc
on peut gérer ca via le htaccess ?
On Mon, 16 Jun 2014 09:49:22 +0200, jouannin cedric wrote
(in article <03202221E1790A4EBDDD9D22CA67ED7705BA2818@SVIREXC1.ccire.fr>):
Bonjour,
Concernant la directive "register_globals" (éditable dans le fichier de
configuration "php.ini" au niveau du serveur), celle-ci représente une
importante faille de sécurité (injection de valeurs et détournement de
variables $_GET et $_POST par l'internaute notamment) pour l'utilisation des
scripts, ci-ceux-ci n'ont pas été adaptés en conséquent (surtout, s'ils n'ont
pas été conçus "proprement" !).
Voir la doc officielle :
PHP: Description des directives internes du php.ini - Manual.Il n'est donc pas étonnant que SPIP lance une alerte si cette directive est
activée.
Tu sais ce qu'il te reste à faire (la désactiver).Cordialement,
Cédric JOUANNIN
-----Message d'origine-----
De : jacangers [mailto:plard.jacques@gmail.com]
Envoyé : vendredi 13 juin 2014 14:00
À : spip@rezo.net
Objet : [Spip] register_globalsA la suite de ma mise en jour en SPIP 3.0.16
dans la partie "administration", j'ai un message
Problème de sécurité : register_globals=on; dans php.ini à corriger.
c'est grave docteur ?
jacques
_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.netInfos et archives : http://listes.rezo.net/mailman/listinfo/spip
Discuter chez rezo.netDocumentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc
Re-bonjour,
Si tu es en hébergement mutualisé, il est possible de gérer cela dans un fichier HTACCESS si l'hébergeur l'a autorisé.
Il existe plusieurs méthodes, certaines propres aux hébergeurs, notamment :
php_flag register_globals off
OU
SetEnv REGISTER_GLOBALS 0
La deuxième méthode semble être à utiliser chez OVH (Portail de service clientèle - Service clientèle).
Vérifies par la même occasion si ton hébergement tourne sous PHP 5 et non PHP 4 (créer et lancer un fichier utilisant la fonction phpinfo() : PHP: phpinfo - Manual).
Voir les config requises pour les versions de SPIP : Configuration requise - SPIP.
Toujours en fonction des hébergeurs, la version de PHP peut également être modifiée dans le HTACCESS (chez FREE par exemple).
Cordialement,
Cédric JOUANNIN
-----Message d'origine-----
De : jacangers [mailto:plard.jacques@gmail.com]
Envoyé : lundi 16 juin 2014 10:56
À : spip@rezo.net
Objet : Re: [Spip] register_globals
on peut gérer ca via le htaccess ?
On Mon, 16 Jun 2014 09:49:22 +0200, jouannin cedric wrote (in article <03202221E1790A4EBDDD9D22CA67ED7705BA2818@SVIREXC1.ccire.fr>):
Bonjour,
Concernant la directive "register_globals" (éditable dans le fichier
de configuration "php.ini" au niveau du serveur), celle-ci représente
une importante faille de sécurité (injection de valeurs et
détournement de variables $_GET et $_POST par l'internaute notamment)
pour l'utilisation des scripts, ci-ceux-ci n'ont pas été adaptés en
conséquent (surtout, s'ils n'ont
pas été conçus "proprement" !).
Voir la doc officielle :
PHP: Description des directives internes du php.ini - Manual.Il n'est donc pas étonnant que SPIP lance une alerte si cette
directive est activée.
Tu sais ce qu'il te reste à faire (la désactiver).Cordialement,
Cédric JOUANNIN
-----Message d'origine-----
De : jacangers [mailto:plard.jacques@gmail.com] Envoyé : vendredi 13
juin 2014 14:00 À : spip@rezo.net Objet : [Spip] register_globalsA la suite de ma mise en jour en SPIP 3.0.16
dans la partie "administration", j'ai un message
Problème de sécurité : register_globals=on; dans php.ini à corriger.
c'est grave docteur ?
jacques
_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.netInfos et archives : http://listes.rezo.net/mailman/listinfo/spip
Discuter chez rezo.netDocumentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc
_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Discuter chez rezo.net
Documentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc