Bonjour,

L'éditeur du CMS Guppy vient de publier un patch de sécurité afin de mettre à jour vos sites.

La mise à jour est à faire rapidement. Pour plus d'information, n'hésitez pas à consulter le site de l'éditeur http://www.freeguppy.org

 

GuppY - Patch de sécurité 4.6.21a


Nous vous proposons le patch 4.6.21a avec des corrections, trois nouveautés, et la correction d'une faille
permettant l'injection de code, découverte le samedi 20 octobre 2012.

Attention, toutes les versions de GuppY sont concernées, y compris la version 4.6.21.

Vous devez installer IMPERATIVEMENT et IMMEDIATEMENT ce correctif pour la sécurité de votre site.

Les corrections :

- correction affichage $web111 dans postguest.php (merci JeanMi, Saxbar)
- correction MAJ_AGENDA.PHP (merci linuxmr)
- correction textes anglais de error.php (merci Corrector)
- correction affichage drapeau dans boxlang.inc (merci Saxbar)
- correction $pluginlist dans attribdroits.inc (merci linuxmr)
- correction contrôle saisie email, url (merci jchouix, merci Saxbar)
- correction fichier langue française fr_upload.inc (merci Corrector)
- correction fichier langue anglaise en_upload.inc (merci Corrector)
- correction htmlspecialchars dans fckeditor_php5.inc et fckeditor_php4.inc (merci linuxmr)
- mise à jour crédits et générique (merci Papinou)
- modification du fichier .htaccess, seuls les fichiers avec l'extension inc ou dtb sont bloqués (merci JeanMi)
- ajout possibilité de s'abonner à un fil du forum en cas de modification du sujet (merci Saxbar)

Les nouveautés :

- nouvelle version de pgeditor.php (merci jchouix)
- intégration de la version 3.6.4 de CKEditor (merci Papinou)
- fichier de mise à jour du .htaccess de la racine de GuppY (merci JeanMi, merci Saxbar)
  Pour la mise à jour du .htaccess de la racine, vous devez ajouter MAJ_HTACCESS.PHP à l'url de votre site puis Entrée
  pour l'exécuter après l'application du patch 4.6.21a.


Comme à chaque nouvelle version, n'oubliez pas de mettre à jour vos plugins, de réinstaller vos forks, de revalider vos pages de configuration.
Pour passer de la version 4.6.20 à la version 4.6.21a, c'est ce patch_nc_4621a que vous devez utiliser.
   
Merci à tous les participants à ce patch.

La Guppy Team

Bonjour à tous,

Nous procédons actuellement à une série de modifications de notre architecture technique en vue d'améliorations.

Pour la plus grande partie des utilisateurs de la plateforme de services mise en œuvre par Orphanet grâce au mécénat de la Fondation Groupama pour la Santé, ces modifications n'auront pas d'incidence quant à l'utilisation des services.

En revanche, certains d'entre vous utilisent un nom de domaine qui pointe sur un compte ouvert sur cette plateforme d'hébergement. Pour ceux-ci une simple opération de changement de "DNS" est à prévoir.

En effet, un nom de domaine est toujours configuré au niveau du gestionnaire de domaine pour pointer sur un serveur, identifié précisément par son adresse IP particulière.
C'est ce pointage qu'il faudra modifier, chez votre prestataire gestionnaire de votre domaine (registrar).

Ces opérations auront lieu à partir du 12 septembre. Vous recevrez ce jour là un email vous précisant exactement les informations à changer chez votre gestionnaire de domaine. Ces modifications seront à faire dans les 5 jours, afin de vous laisser suffisamment de temps pour les réaliser.
La façon de réaliser ces modifications dépendant pour chacun du prestataire (registrar) gérant votre domaine, nous ne pouvons vous fournir une documentation plus détaillée.

En cas de doute, n'hésitez pas à nous contacter à partir du 12 septembre, après réception du mail vous précisant les modifications à réaliser. 

 

Par ailleurs, pour les utilisateurs de l'outil "NESTOR",

Pour information des opérations de maintenance auront lieu à la rentrée de septembre 2012. En conséquence, l'interface de gestion NESTOR ne sera pas accessible durant la première semaine (à partir du 3 septembre) et reviendra à partir du 10 septembre.
Vos sites resteront cependant quant à eux pleinement accessibles, mais donc sans modifications possibles via Nestor.

Bien cordialement,

L'équipe Technique ORPHANET 

Message de l'éditeur de GUPPY: Patch de Sécurité 4.6.19 du 30 Mars 2012

Ce patch 4.6.19 corrige une faille critique, rendue publique concernant toutes les versions précédentes de GuppY.
Vous devez installer IMPERATIVEMENT et IMMEDIATEMENT ce correctif pour la sécurité de votre site.

Nous y avons ajouté quelques nouveautés ou corrections:
- correction function WriteDoc, thanks jchouix
- ajout des réseaux sociaux, thanks Saxbar
- ajout de l'initialisation de DBLOGL dans install/cleanup.php, thanks Icare
- remplacement de Close par $admin458 dans admin/inc/archbatch.php, thanks Icare
- mise à jour pages/db_guppy.txt, thanks Icare, Saxbar
- correction dans config8 et config9 relative aux curseurs dans le body , thanks Saxbar
- correction dans config2, suppression de $page[24] pour le curseur dans le body et cursor:hand, thanks Saxbar, tonton_christian
- ajout d'une étape supplémentaire dans les scripts de migration du répertoire install,
pour mettre les datas conformes avec le php5 (basée sur le script de la moulinette à datas), thanks Saxbar, Icare, JeanMi
- affichage des boites latérales et centrales sans titre si celui ci est vide, thanks Saxbar

Attention:
Tous les fichiers skin.inc des skins du pack GuppY sont modifiés y compris celui de la no_skin pour ne pas afficher les titres de boite s'ils sont vides.Si vous avez personnalisé votre ou vos fichiers skin.inc, il est indispensable de faire une sauvegarde pour ne pas les écraser.

Comme à chaque nouvelle version, n'oubliez pas de mettre à jour vos plugins, de réinstaller vos forks, de revalider vos pages de configuration.
Pour passer de la version 4.6.18 à la version 4.6.19, c'est ce patch_nc_4619 que vous devez utiliser.

Merci à tous les participants à ce patch.
La Guppy Team

Message de l'éditeur de GUPPY:

Patchs et version de sécurité 4.6.16

L'intégration dans GuppY des groupes privés a induit un certain nombre de dysfonctionnements
et surtout des failles de sécurité qui n'ont pas été détectées lors des bêta tests.

Nous proposons donc la version 4.6.16 qui corrige ces failles ainsi que certains couïcs.
L'installation de cette version est indispensable pour la sécurité des données des groupes privés.


Sur le bugtracker :

#366 - correction failles pour les forums privés et les téléchargements(thanks jchouix, Laroche, Pascal31)
#367 - correction affichage forum en direct(thanks jchouix, Laroche, Pascal31)
#365 - correction incohérence création data/temp (thanks Hpsam)
#363 - correction affichage booster dans counter.inc (thanks Papinou)
#372 - correction coquille dans forum.php (thanks JeanMi)
#374 - optimisation prise encompte des langues dans fck editor (thanks jchouix)
#375 - modification gestion enregistrement des membres (thanks Laroche)

Sur le forum:

 - Correction encadrement icône dans news.inc (thanks Papinou)

 # Correction entête fichier admin.inc
 # Correction fichiers langues fr et en
 # Correction affichage dernières nouvelles en page d'accueil (thanks Laroche)
 # Correction affichage et traitement des téléchargements privés,
   création d'un sous-répertoire file/private avec un .htaccess pour sécuriser les téléchargements privés qui devront être mis dans ce répertoire private (thanks Laroche)
 # Modification fichiers de configuration pour contrôle de la création des catégories privées du forum(thanks Laroche)
 # Optimisation affichage block boite citation dans toutes les skins du pack (thanks Papinou)
   Attention: Si vous avez personnalisé une skin du pack GuppY sans en changer le nom, vous devez impérativement la renommer             
                      avant l'installation du patch sous peine de perdre vos modifications.
                      Les fichiers style.css et skin.inc de chaque skin sont modifiés.
 
Tous nos remerciements à cece45 pour nous avoir signalé la faille des forums privés.

Note :
Il est indispensable de bien lire les consignes ci-dessus, le lisezmoi.html et le Tuto_Groupes_Prives.pdf joints dans le pack guppy_4616.zip

La GuppY Team

Madame, Monsieur,


Suite à l'attaque le 22 mai du serveur d'hébergement des associations et sites professionnels dans le domaine des maladies rares, le Département des Systèmes d'Information (DSI) de l'Inserm avait fermé l'accès à l'ensemble du serveur et donc à l'ensemble de vos sites. Le DSI avait ensuite à notre insistance procédé à une réouverture partielle (en lecture seule) qui, bien qu'assurant la présence de vos sites sur internet, n'en permettait pas un usage pleinement normal.

Suite à ces décisions, et afin d'assurer le service que nous nous sommes engagés à vous fournir, nous avons mis en place un service d'hébergement sur un serveur chez un hébergeur privé et ce à notre charge. Après installation et configuration de ce nouveau serveur nous avons effectué la migration de vos sites avec une réouverture pleinement fonctionnelle pour les utilisateurs non "Nestor".

Nous venons d'effectuer la deuxième phase des opérations et l'interface Nestor est de nouveau disponible pour vous permettre de gérer et modifier vos sites. Les sites gérés par NESTOR sont donc de nouveaux opérationnels pour être modifié.

Le fonctionnement est globalement similaire à l'ancienne configuration, à l'exception de 2 principaux points.

1) L'url pour accéder à votre interface de gestion:
Précédemment elle était de la forme
http://asso.orpha.net/VOTRECOMPTE/nestor2/page/nstIdForm.php?Lng=FR

Elle est désormais en
http://nestor.orpha.net/VOTRECOMPTE/nestor2/page/nstIdForm.php?Lng=FR

(nb: votre ancienne adresse sera redirigée sur cette dernière)

L'url de votre site (ou votre nom de domaine) ne change pas.

2) Les modalités de publication de votre site
Précédemment après avoir effectué les opérations de publication de votre site, celui-ci était immédiatement disponible en ligne.
Maintenant, un transfert automatique des pages créées ou modifiées est effectué vers notre nouveau serveur. Il y a donc un délai de quelques instants (maximum 5 min) entre l'action de publication et la disponibilité de votre site en ligne.

Par ailleurs, pour l'ensemble des utilisateurs du service une charte a été aussi mise vigueur et nécessite votre acceptation.
Elle est disponible à cette adresse
http://asso.orpha.net/ORPHAWEB/cgi-bin/articles.php?lng=fr&pg=462


En cas de soucis techniques, contactez webasso.orphanet[at]inserm.fr