Mise à jour de sécurité SPIP 3.0.2, 2.1.15 et 2.0.20

Cette version 3.0.2 corrige notamment :

• 2 possibilités d’injection XSS qui sont désormais bloquées ;
• Les articles en cours de rédaction visibles dans les listes de révisions ;
• L’affichage de la page des plugins en langue RTL ;
• La purge des fichiers de session anonyme toutes les semaines ;
• La disparition des statistiques lors de l’activation de la compression HTML ;
• Une ligne blanche récalcitrante dans le choix des rubriques ;
• Une erreur SQL sur la recherche des plugins ;
• Une erreur de traitement du raccourci abbr inclu dans un lien ;
• Une boucle infinie qui pouvait tuer un serveur (disque full à cause de error.log) ;
• Les critères age, et xxx_relatif cassés sous SQLite ainsi que le critère heure totalement inopérant ;
• Plusieurs autres broutilles dont on vous passera les détails ;

Cette annonce est l’occasion de compléter l’information communiquée dans les précédentes

La sortie officielle de SPIP 3.0 s’est faite grandement attendre, nous en convenons. Mais il est important de rappeler qu’entre les versions 2.1 et 3.0, d’importants chantiers ont été mis en œuvre et sont déjà bien aboutis.

plugins.spip.net

Le site des plugins a été revu en profondeur afin d’être complètement automatisé. Il est mis à jour toutes les 6 heures en synchronisation avec les commits faits sur la Zone.

Chaque développeur de la communauté mettant à disposition son code sur la Zone peut fournir ses contributions automatiquement dans « plugins.spip.net » et son flux de plugins [2] en modifiant le fichier archivelist.txt.

Pour les utilisateurs de « plugins.spip.net », la recherche d’un plugin est facilitée par la possibilité de filtrer les résultats en fonction d’une version de SPIP particulière : découvrez par exemple la liste des plugins compatibles avec SPIP 3

Bye bye trad-lang, bienvenue à trad.spip.org

Après plusieurs années de bons et loyaux services, il était temps pour « trad-lang » de céder la place à un nouvel outil de traduction de l’interface de SPIP et de l’ensemble des contributions. Depuis quelques temps déjà, Salvatore s’occupait de la synchronisation des fichiers de langues et de la base de données des traductions. Il est maintenant accompagné d’un nouveau site http://trad.spip.org, motorisé uniquement par des plugins SPIP et proposant une interface de traduction revisitée.

L’objectif de « trad.spip.org » est d’ouvrir les traductions au plus grand nombre, de disposer d’une interface un peu plus moderne et d’automatiser petit à petit la génération des fichiers de langues.

Vous aurez peut-être remarqué que depuis SPIP 3.0, les contributeurs traducteurs sont cités dans le code lui-même ?

Peut-être est-ce passé également inaperçu mais l’interface de SPIP 3.0 est dorénavant disponible en slovaque. Merci au travail de Jaro qui a fait du slovaque la seconde langue de SPIP, au détriment de l’anglais, du farsi, de l’arabe et de toutes les autres…

Pour s’y retrouver dans la galaxie SPIP ?

Depuis quelques mois aussi, un site, ou plutôt une page, la « Boussole SPIP », vous permet de vous repérer dans les outils et les sites de la communauté.

Cette Boussole SPIP a de plus été déployée sur les sites de la galaxie avec un format adapté à chacun.

SPIP 3.0.2, 2.1.15 et 2.0.20

L’utilisation de l’écran de sécurité mis à jour protège de toutes les failles qui nous ont été signalées dans toutes les versions de SPIP. Vous êtes encouragés à télécharger la version la plus récente de l’écran de sécurité (1.1.2 du 12 juin 2012) et à la déposer dans votre répertoire config/ (cf. http://www.spip.net/fr_article4200.html).

Toutefois, si vous avez la possibilité, nous vous recommandons fortement de mettre à jour SPIP avec les nouvelles versions. N’hésitez pas à utiliser les différents moyens mis à disposition par la communauté pour obtenir de l’aide lors de cette
mise à jour :
-  Liste spip-user : http://listes.rezo.net/mailman/listinfo/spip
-  Forum : http://forum.spip.org/
-  IRC : http://spip.net/irc

Nous rappelons à toutes et tous que le meilleur moyen pour signaler des failles, ou des suspicions de failles est d’envoyer un email à spip-team@rezo.net

Comment mettre à jour ?

1. par spip_loader.php : si vous avez déjà installé spip_loader, rendez-vous à l’adresse http://VOTRE_SITE/spip_loader.php pour installer la dernière version de SPIP. Attention cependant : lisez bien les instructions ici : http://www.spip.net/fr_download#spip_loader pour ne pas être surpris par un passage non voulu de SPIP2 à SPIP3

2. par copie des fichiers : SPIP 3.0.2 est disponible à l’adresse http://files.spip.org/spip/stable/spip-3.0.zip

3. par SVN : si vous êtes dans la branche 3 faites simplement un « svn up » svn ://trac.rezo.net/spip/branches/spip-3.0 la version 3.0.2 est aussi disponible sous
la branche : svn ://trac.rezo.net/spip/branches/spip-3-stable et sous le tag svn ://trac.rezo.net/spip/tags/spip-3.0.2

Les versions 2.0.20 et 2.1.15 sont téléchargeables ici : http://files.spip.org/spip/archives/