Bonjour,
plusieurs failles de sécurité ont été repérées dans les versions 1.9.2,
2.0 et 2.1 de SPIP.
Nous rappelons à toutes et tous que le meilleur moyen pour signaler des
failles ou des suspicions de failles est d’envoyer un email à spip-team@rezo.net.
C’est ce qu’a fait Laurent Esthieux (TEHTRI-Security) et nous l’en remercions.
La faille concernant la version 1.9.2 est majeure (injection sql) et si vous
avez une version 1.9.2 de SPIP, nous conseillons vivement de faire la mise à
jour en 1.9.2.k.
Concernant les versions 2.0 et 2.1, si l’impact sur un site est moins
important (full path disclosure), nous conseillons toutefois de mettre à jour
en 2.0.16 et 2.1.11.
Dans tous les cas vous avez toujours la possibilité de protéger rapidement
votre site (en attendant sa mise à jour complète) en téléchargeant la
version 1.0.5 (26 juillet 2011) de l’écran de sécurité, et en la déposant
dans votre répertoire config/ (cf. http://www.spip.net/fr_article4200.html).
N’hésitez pas à utiliser les différents moyens mis à disposition de la
communauté (http://boussole.spip.org) pour obtenir de l’aide lors de cette
mise à jour ; en particulier :
- liste spip-user http://listes.rezo.net/mailman/listinfo/spip
- forum http://forum.spip.org/
- IRC http://spip.net/irc
Avertissement :