SPIP-Contrib

SPIP-Contrib

عربي | Deutsch | English | Español | français | italiano | Nederlands

288 Plugins, 197 contribs On SPIP-Zone, 169 visitors now

Home > SPIP’s Life & culture > SPIP-core > SPIP Security Alert + new version SPIP 2.0.9

SPIP Security Alert + new version SPIP 2.0.9

6 August 2009 – by SPIP-Contrib’s Team

All the versions of this article: [عربي] [English] [français] [italiano]

37 Votes

(from an alert posted on “spip-ann” mailing list)

Hello,

A big security issue has just been discovered : this issue affects all SPIP versions from 2.0.x to 2.0.8, the branch 1.9 is also affected. This breach lets a hacker with no password at all, to take control on the SPIP website and on the web server.

This alert is to be taken seriously, as it has not been discovered by someone “nice” but by a real “naughty one” who took control on an existing website in order to insert malwares on it.

Corrections :

We publish today 2 new maintenance versions for SPIP, which fix this issue :

  • SPIP 2.0.9, latest official and stable version, which offers the fix and a list of improvments listed below.
  • SPIP 1.9.2i, maintenance version for the branch 1.9.2

Download them at : http://files.spip.org/spip/stable/

or, if you wish to use spip_loader : http://xxx.example.tld/spip_loader.php

For security specialists, the lone security patch, which corrects nothing else but the issue and does not bring any other improvment, can be found at :
http://fil.rezo.net/secu-14346-14350+14354.patch
Check revisions [14347] [14348] [14349] [14350] and [14354].

For the branch 1.9.2x patch is available there :
http://trac.rezo.net/trac/spip/changeset/14354/branches/spip-1.9.2

Security Screen :

If you have no way to upgrade completely at once, we suggest you to fix the breach as soon as possible by installing on your SPIP website the “security screen”. You can discover this at :
http://www.spip.net/fr_article4200.html (Fr.)

This “screen” lets you block certain attacks without the need of upgrading SPIP.

Credits :

This issue was found and analysed by Thomas Sutton et Pierre Rousset.

We also feel free to remind you that, the best way to let us know about a security issue with SPIP is to send a mail at spip-team [AT] rezo.net

updated on 6 August 2009

Back to top

Comment on this article

Who are you?
  • [Log in]

To show your avatar with your message, register it first on gravatar.com (free et painless) and don’t forget to indicate your Email addresse here.

Enter your comment here Les choses à faire avant de poser une question (Prolégomènes aux rapports de bugs. )
Add a document

Back to top

Here they're talking

  • (fr) Incarner

    11 juillet 2016 – 13 commentaires

    Permet aux webmestres de se connecter en tant qu’un autre auteur très facilement. Pendant la phase de développement, c’est très pratique pour diagnostiquer des problèmes d’autorisations sans avoir à se reloguer tout le temps. Ce plugin permet de se (...)

  • (fr) LangOnet - Présentation générale

    20 août 2010 – 17 commentaires

    Un outil destiné aux développeurs pour vérifier, générer, éditier ou afficher les items de langue d’un plugin, d’un squelette ou des fichiers originaux de SPIP. Objectif La mise au point des fichiers de langue d’un plugin ou d’un squelette est (...)

  • (fr) Plugin Domlang : Domaines par secteur de langue

    4 septembre – commentaire

    Domlang est un plugin qui permet d’associer un nom de domaine ou un sous-domaine à un secteur de langue. Ce plugin convient pour un site qui utilise des secteurs de langues. En configuration, pour chaque secteur, vous pourrez définir une URL (...)

  • (fr) Sitemap images

    5 septembre – commentaire

    Ce plugin fournit un sitemap plus complet qui intègre les adresses des images de votre site. Il vise à améliorer l’indexation des images de votre site SPIP. Le fichier sitemap.xml Le fichier sitemap.xml est un fichier comprenant tous les (...)

  • (fr) Le plugin ZotSpip

    28 mai 2012 – 141 commentaires

    Synchronise Spip avec une bibliothèque (personnelle ou partagée) de références bibliographiques Zotero. Utilisez Zotero pour gérer / importer / rédiger vos références bibliographiques, puis incorporez vos références bibliographiques dans votre Spip avec (...)