L'équipe de développement du noyau vous présente une nouvelle version dans le développement de XOOPS.
Cette version 2.0.10 est une version de sécurité améliorée qui diminue l'utilisation de la fonction fopen avec les urls et introduit un nouvel outil de sécurisaton des modules contre les attaques CSRF : la classe XoopsSecurity (expliquée plus loin).
Cette version contient les fichiers du noyau en incluant les versions des modules News et Newbb (1.1 et 1, respectivement). Si vous utilisez des versions plus récentes de ces modules, veuillez ne pas transférer le contenu de ces dossiers.
Ce sera notre dernière version livrée avec des modules, comme nous vous l'avons déjà indiqué. News, Newbb, Mylinks et les autres seront inclus dans des packages de modules construits pour différents types de sites.
Cependant le terme "Core Module" ne va pas disparaître totalement, sa définition va évoluer de "Module inclu avec le package noyau" vers "Module géré par le noyau". Des informations supplémentaires seront données avec le développement of XOOPS 2.1.0.
Xoops 2.0.10 Full (.tar.gz)
Xoops 2.0.10 Full (.zip)
Xoops 2.0.9.2 to 2.0.10 Patch (.tar.gz)
Xoops 2.0.9.2 to 2.0.10 Patch (.zip)
Xoops 2.0.10 Full version FR (.zip)
Attention : si vous utilisez le module Multilanguage de Marcan, veuillez prendre connaissance de cet article.
Une mise à jour s'effectue en écrasant les anciens fichiers par les nouveaux, ensuite faites une mise à jour du module system ; tout cela après avoir réalisé préalablement une sauvegarde (fichiers et base de données).
====
XoopsSecurity
====
La nouvelle classe de sécurité génère des routines incluant la vérification du HTTP REFERER et la contamination des variables globales par des requêtes de paramètres.
Elle introduit aussi un système de sécurisation des formulaires contre les attaques CSRF.
Comment cela fonctionne ?Le jeton est généré à chaque utilisation de champs input dans les formulaires, avec une valeur unique et pratiquement non devinable qui est sauvée sous forme de variable cachée dans la session de l'utilisateur. Quand le formulaire est soumis, la page qui le réceptionne peut vérifier si la valeur du jeton fournie via le formulaire est conforme à la session de l'utilisateur, sinon une erreur se produit.
Comment je peux utiliser ceci dans mon moduleTout dépend de la réalisation de votre module, il existe plusieurs façons de procéder pour implémenter ce système de jeton :
Envoi du formulaire
1) Ajouter un 5° paramètre au constructeur de la classe dérivée XoopsForm - true pour ajouter un jeton et false (default) pour ne pas utiliser le système de jeton dans ce formulaire.
2) Si vous n'utilisez pas les classes XoopsForm, mais écrivez du html directement dans une fichier php ou un template Smarty ; pour récupérer le système de jeton dans votre code html, utilisez $GLOBALS['xoopsSecurity']->getTokenHTML() - ceci retournera le résultat XoopsFormHiddenToken::render() call, prêt à être utilisé dans un fichier php ou assigné à la variable $xoopsTpl pour utilisation dans un template.
RĂ©ception du formulaire
Vous pouvez vérifier la validité du jeton en appelant $GLOBALS['xoopsSecurity']->check() - qui retourne true ou false - avant d'autoriser une mise à jour de la base de données ou des actions similaires.
Quand dois-je l'utiliser ?Vous devez utiliser le système de jeton à chaque fois que vous avez un formulaire qui doit faire des changements dans la base de données. Spécialement si le formulaire concerne des utilisateurs avec des droits privilégiés.
J'utilise le module xxx sur mon site, il n'utilise pas le système de jeton, est-ce dangereux ?Non pas directement, même s'il y a eu discussion à ce sujet (c'est pourquoi nous construisons ce système de jeton tous ensemble). Si vous contrôlez le http referer (ce que fait xoops par défaut), vous êtes déja protégés des attaques malicieuses du type utilisation d'un formulaire depuis un autre site pour accéder à votre site sous le profil admin
Cependant, contrôler le http referer n'est pas totalement pratique pour vos visiteurs, qui doivent configurer leur firewall pour leur site. Le système de jeton rend votre site moins vulnérable et devrait vous décider à désactiver le contrôle du referer.
Qui dois-je remercier pour que Xoops soit mieux sécurisé ?La communauté japonaise à qui vous pouvez envoyer vos remerciements, fleurs, chocolats, etc...
|
4410
Re: Publication de XOOPS 2.0.10 stable
Re: Publication de XOOPS 2.0.10 stable
Re: Publication de XOOPS 2.0.10 stable
