PluXml

Une faille de sécurité de type XSS jugée très critique a été découverte par BoiteaWeb.fr. Comme le démontre en vidéo Julio POTIER dans son billet "Faille XSS dans le CMS PluXML 5.0.1", la vulnérabilité permet de récupérer le mot de passe de l'administrateur.

Il est donc indispensable de mettre à jour votre version de PluXml et de passer en version 5.0.2.

La nouvelle version est disponible en téléchargement sur la page d'accueil de Pluxml. Pour ceux qui le souhaite vous pouvez récupérer le hdiff afin de ne reporter dans votre version actuelle que le code nécessaire pour combler la faille de sécurité.

Nous publions ce soir la version PluXml blog 4.3.2 qui corrige une faille XSS.

Cette faille nous a été remontée par Eric de www.securi-toile.com, nous le remercions donc pour sa contribution.

Nous vous invitons très fortement à procéder à la mise à jour de votre PluXml en lisant la documentation ou en utilisant ce HDIFF

La discussion continue en bas et ici.

Plusieurs failles de sécurité dont deux majeures (détail des failles ci-dessous) ont été corrigées ce soir sur les versions blog beta 4.x par la sortie de la version blog beta 4.1.1.

Nous vous conseillons très fortement de mettre à jour votre PluXml avec cette version disponible dans l'espace téléchargement. Cependant deux failles mineures nécessite la mise à jour de votre thème si celui-ci est personnalisé (Faille Full Path Disclosure et Faille Cross Site Scripting). Il est conseillé aux contributeurs de thèmes sur http://ressources.pluxml.org de mettre à jour leur contribution.

Un hdiff est également disponible en suivant ce lien.

Lire la suite de PluXml blog beta 4.1.1 : correction de failles