[Résolu] Bug : Statut des auteurs (Admin/redac) en 4.4.11

Général
1

Bonjour,
Je constate un bug sur mes sites en 4.4.11, sans aucun plugin activé.

Le formulaire d’edition auteur présente un bug sur le selecteur de statut :

  • quelque soit le statut d’un auteur, le choix affiché dans le select est « admin » lors d’une modification

Cela a pour conséquence, que lors de la modification d’une fiche auteur, si l’utilisateur ne fait pas attention, l’auteur se voit promu administrateur par inadvertance…

J’ignore si ce bug provient de la 4.4.11, en tout cas, je m’en suis aperçu qu’aujourd’hui.

Merci de vos lumières.
Julien

3

Je vois que la version 4.4.10 introduit un fix probablement lié :

  • Bug d’autorisation au chargement du formulaire d’institution générique pour les objets sans parents et les personnes non webmestre
4

Je confirme sur plusieurs sites (y compris spip.net). Peux-tu faire un ticket ?

5

C’est un client qui me l’a remonté, je le reproduit sur d’autres sites en prod, et celui de dev sans plugin, cache vidé.

6

Bonjour,
test effectué en 4.4.7 et en 4.4.11
problème confirmé en 4.4.11
Clt

7

Le bug est corrigé dans les version de dev. On devrait releaser vendredi matin selon toute vraisemblance.

1 « J'aime »
8

Excellente nouvelle, je l’attends avec impatience, le fait que des admins peuvent être promu par erreur ne me réjouie pas plus que ca :grimacing:

9

C’est sorti ! Alors il faut déjà être admin pour cela, mais oui, c’était bien fâcheux :smiling_face_with_tear: … Il nous manquait quelques tests.

10

Bonjour
l’annonce est pour la 4.4.12 mais spip_loader dit 4.4.13
Normal ?
Merci

11

Normal, oui.

12

Oui, la 4.4.12 a eu une vie très éphémère.

C’est précisé dans l’annonce : Mise à jour de sécurité : sortie de SPIP 4.4.13 - SPIP Blog

13

La màj mentionne « correctif de sécurité » mais c’est juste cette histoire de promotion des auteurs en admins c’est ça ? Ce n’est pas quelque chose qui peut se déclencher sans authentification ?

14

Non ça ne peut pas de faire sans authentification. Mais ça ouvre la possibilité de promouvoir par erreur des comptes. Et donc c’est une vulnérabilité

15

Oui, il fallait être admin, dans l’admin, et éditer un auteur…

Ça corrige d’autres bugs probablement ailleurs.

J’espère vraiment qu’on a pu traiter la majorité des problèmes, parce qu’on fatigue un peu là :sweat_smile:.

Il est temps de se poser et d’améliorer quelques points autour des releases de la branche 4.4… on avait pas mal amélioré le processus, mais il manque des vérifications automatiques en « CI ». On a fait cela sur la 5.0-dev, mais le temps passe, et on voit que c’est important de vérifier nos reports notamment à cause des versions mini de PHP différentes…

3 « J'aime »
16

un grand merci à toute l’équipe ! bon week end !!

17

Merci pour votre réactivité à tous.

De mon coté c’était très craignos pour reprendre le terme consacrée.

Je travaille avec des assos qui mettent à jour très régulièrement les fiches auteurs de leur membre, donc on s’est vite retrouvé avec des admin en pagaille… sans trop comprendre pourquoi pendant un temps.

Merci encore!