SPIP-Core v3.1.14 -> v3.1.15 (12 février 2021) ----------------------------------------------- 9009d4834 | cedric | 2021-02-08 | Fix #3869 (ou du moins on espere, sinon c'est pas si grave) 5db30f457 | cedric | 2021-02-05 | nettoyer l'adresse site qu'on enregistre fix #4629 fdfe5a332 | bruno | 2021-02-05 | ne pas stocker le champ ldap_password dans les fichiers de session 868365414 | cedric | 2021-02-01 | appels a autoriser sur les formulaires editer, a minima quand on les utilise en modification d'un objet existant depui.. 11f4c24cc | cedric | 2021-02-02 | Eviter d'utiliser une globale, gerer le flag en static avec operations de lecture+reset 7e995ff2f | cedric | 2021-02-01 | Eviter de donner sa langue au chat 6cdf5f766 | cedric | 2021-02-01 | on accepte pas une fonction de config inconnue si elle vient d'un modele c27b8a9f4 | cedric | 2021-02-01 | Utiliser contexte_compil pour reperer les appels a executer_balise_dynamique() venant d'un modele, et lever un flag le.. 259e6ce02 | cedric | 2021-02-01 | une fonction pour detecter qu'un formulaire a ete inclu via un modele et non directement via une balide #FORMULAIRE_xxx 7f2d085f3 | bruno | 2021-01-21 | éviter d'afficher n'importe quoi dans le message d'édition concurrente 9c7315c3e | bruno | 2021-02-01 | attribut_html() sur les attributs renvoyés par env_to_params() & env_to_attributs() SPIP-plugins-dist v3.1.14 -> v3.1.15 (12 février 2021) ------------------------------------------------------- breves | 8ec9cd7 | cedric | 2021-02-04 | verifier l'autorisation de modifier la breve passe en argument mediabox | abff912 | cedric | 2021-02-08 | #4625 : echapper les valeurs injectees dans le js via les parametres mediabox, c'est plus propre medias | 9a3b53f | cedric | 2021-02-04 | Verifier l'autorisation de modifier les documents passes en argument du formulaire mots | f9d92a8 | cedric | 2021-02-04 | Verifier les autorisations de modifier les mots/groupes de mots passes en argument du formulaire d'edition sites | aca62c8 | cedric | 2021-02-04 | verifier l'autorisation de modifier le site passe en argument du formulaire d'edition SPIP-Core v3.1.13 -> v3.1.14 (2 octobre 2020) --------------------------------------------- daa3a9ee3 | marcimat | 2020-10-02 | Compat PHP < 5.4 ! 682a4ff4b | marcimat | 2020-10-02 | Compat PHP < 5.4 ! SPIP-Core v3.1.12 -> v3.1.13 (29 septembre 2020) ------------------------------------------------ f9047f81c | cedric | 2020-09-17 | Si une page preview est visualisee dans un element embed on sandbox l'element et on redirige sur la home pour eviter t.. bf1a00cc1 | marcimat | 2020-06-05 | Sanitiser les préférences utilisateurs. (g0uz) 5eb225d95 | cedric | 2020-06-05 | n'enregistrer que les preferences licites (g0uZ) 923f20fa0 | cedric | 2020-01-22 | Fix : utiliser propre sur les nom de plugin est dangereux, car certains plugins peuvent enrichir avec un lien et comme.. 64821d216 | cedric | 2020-09-11 | Report. #4494 : masquer les cookies sensible de le phpinfo 66735047f | marcimat | 2020-09-28 | On intègre plugins-dist.json pour lister les plugins-dist. Report de 7306ba9a sans bigup, archiviste, aide. bfc4a833f | cedric | 2020-05-27 | cot cot cot... b4d6be458 | cedric | 2020-05-27 | _oups donc (aka un base64_encode ca fait pas de mal) 02de17d7d | cedric | 2020-05-19 | Divers petites sanitization et une balise manquante #4494 a158cc9d7 | ben.spip | 2019-12-12 | SPIP 3.1.11 SPIP-plugins-dist v3.1.12 -> v3.1.13 (29 septembre 2020) -------------------------------------------------------- breves | 049dd3e | spip.franck | 2020-01-01 | Bonne Année "breves" de spip 3.1 compresseur | 50865b1 | spip.franck | 2020-01-01 | Bonne Année "compresseur" de spip 3.1 dump | 42184fe | spip.franck | 2020-01-01 | Bonne Année "dump" de spip 3.1 filtres_images | ae3b4a7 | spip.franck | 2020-01-01 | Bonne année "filtres_images" de spip 3.1 forum | 15c34d9 | spip.franck | 2020-01-01 | Bonne année "forum" de spip 3.1 medias | 0c5185d | cedric | 2020-06-05 | Utilisation des fonctions de sanitization sur galerie et _galerie en lien avec #4494 du core medias | c9cfa71 | spip.franck | 2020-01-02 | ajout du cartouche spip avec accord de cerdic (spip 3.1) medias | 57737c0 | spip.franck | 2020-01-01 | Bonne année "medias" de spip 3.1 mots | 55492b8 | spip.franck | 2020-01-01 | Bonne année "mots" de spip 3.1 organiseur | f1e3fc1 | spip.franck | 2020-01-01 | Bonne année "organiseur" de spip 3.1 petitions | a0184a1 | spip.franck | 2020-01-01 | Bonne année "petitions" de spip 3.1 revisions | 1e7e8fe | spip.franck | 2020-01-01 | Bonne année "petitions" de spip 3.1 safehtml | 46e78a5 | spip.franck | 2020-01-01 | Bonne année "safehtml" de spip 3.1 sites | 58958c0 | spip.franck | 2020-01-01 | Bonne année "sites" de spip 3.1 squelettes_par_rubrique | b3412a7 | spip.franck | 2020-01-01 | Bonne année "squelettes_par_rubrique" de spip 3.1 statistiques | 79b5b96 | spip.franck | 2020-01-01 | Bonne année "statistiques" de spip 3.1 svp | eea4fa3 | spip.franck | 2020-01-01 | Bonne année "svp" de spip 3.1 textwheel | b6e385a | spip.franck | 2020-01-01 | Bonne année "textwheel" de spip 3.1 urls_etendues | ff32755 | spip.franck | 2020-01-01 | Bonne année "urls_etendues" de spip 3.1 vertebres | 566092f | spip.franck | 2020-01-01 | Bonne année "vertebres" de spip 3.1 squelettes-dist | f7bf955 | spip.franck | 2020-01-01 | Bonne Année "dist" de spip 3.1 SPIP-Core spip-3.1.11 -> spip-3.1.12 12 décembre 2019 ------------------------------------------------------------- r24412 | marcimat | (mar. 17 sept. 2019)| Fix #4381 : coquille de priorités d’opérateurs sur un test (Équipement). r24432 | cedric | (ven. 22 nov. 2019) | Fix opcache invalidation sur les mutus qui n'ont pas la fonction opcache_invalidate() (Jean Marie) r24449 | cedric | (mer. 04 déc. 2019) | Feu les temps modernes SPIP-plugins-dist spip-3.1.11 -> spip-3.1.12 12 décembre 2019 ------------------------------------------------------------- r117893 | marcimat | (mer. 18 sept. 2019)| Ticket #4383 : Bien prendre en compte les nécessite / utilise des paquets.xml qui ont une balise `` intégrée.[Report de r117891] r118164 | Cerdic | (mer. 16 oct. 2019) | Reparer le formulaire de saisie d'un nouveau mot de passe qui ne marchait plus avec les navigateur bases sur webkit/blink : ceux-ci croient reconnaitre le formulaire de login, et preremplissent avec les identifiants enregistres. Du coup faute de mieux ils mettaient le login dans le champ nobot, declenchant un fort peu avenant 'Rien a faire ici' pour les utilisateurs r118196 | Cerdic | (ven. 18 oct. 2019) | Trop de n attire l'attention (dd) SPIP-Core spip-3.1.10 -> spip-3.1.11 16 septembre 2019 ------------------------------------------------------------- r24290 | Cerdic | (lun. 08 avril 2019) | Permettre de personaliser le _HEADER_VARY, ce qui peut etre necessaire pour le reverse proxy en amont du frontal r24315 | Cerdic | (ven. 31 mai 2019) | Fix : la class filtre_inactif etait inactive si en premiere position de l'attribut class r24393 | cedric | (dim. 15 sept. 2019) | Rewording sur le message de succes eventuel apres envoi d'un email de reset mot de passe r24394 | cedric | (dim. 15 sept. 2019) | ne rien laisser passer dans var_erreur, c'est encore plus sur et de toute facon on attends pas de HTML ici (Boulouiz Youssouf) r24395 | cedric | (dim. 15 sept. 2019) | perf issue : eviter d'inclure plein de fichier quand on appelle _T() sans argument r24400 | cedric | (lun. 16 sept. 2019) | sanitizer les URLs de redirection au cas ou (beaucoup de conditions pour arriver la et que ce soit effectivement nocif, mais bon) r24401 | cedric | (lun. 16 sept. 2019) | centraliser les tests identiques c'est plus simple a mainteanir r24402 | cedric | (lun. 16 sept. 2019) | Mise a jour de l'ecran de securite r24405 | cedric | (lun. 16 sept. 2019) | oubli d'une accolade fermante dans r24401 (pierrox) SPIP-plugins-dist spip-3.1.10 -> spip-3.1.11 16 septembre 2019 ------------------------------------------------------------- r113885 | cedric | (mar. 12 févr. 2019) | Report de r113883 : une indirection manquante signalee dans https://core.spip.net/issues/4282 (JLuc) r114015 | cedric | (ven. 22 févr. 2019) | Report de r114013 : Envoyer des mails en from d'un inconnu c'est de l'usurpation d'identite et ca peut vous conduire au commissariat, en plus d'etre vu comme un SPAM par beaucoup de fournisseur de mail. On laisse donc le from par defaut du site, mais un mets un Reply-To a l'envoyeur et l'email de l'envoyeur suppose (mais pas verifie) en signature du message. C'est plus robuste et moins sujet a litige SPIP-Core spip-3.1.9 -> spip-3.1.10 08 avril 2019 ------------------------------------------------------------- r24222 | Cerdic | (mar. 12 févr. 2019) | Ecran de securite :* les id_ exceptions dans une variable et on ajoute id_parent et id_article_pdf qui posent parfois problemes* bloquer les paginations croisees dans les calendrier egalement pour les bots (sur certains squelettes genere des tonnes de requetes)* envoyer une 429 Too Many Requests plutot qu'une 503 cf https://webmasters.stackexchange.com/questions/65674/should-i-return-a-429-or-503-status-code-to-a-bot et c'est mieux pour le referencement et GoogleBot qui a tendance a penser que 503 vient d'un serveur mal gere r24225 | Cerdic | (mar. 12 févr. 2019) | Retour a une liste complete de bots telle qu'elle etait sur la version non incremente de la zone, et on incremente r24231 | Cerdic | (mer. 20 févr. 2019) | Fix : quand on essaye d'activer un plugin qui n'est pas compatible avec la version de SPIP, il faut remonter une erreur d'activationOn modifie pour cela les fonctions* plugin_valide_resume() pour qu'elle renvoie le prefixe du plugin accepte ou la description short du plugin refuse pour incompatibilite ou erreur* liste_plugin_valides() pour qu'elle renvoie en plus la liste des plugins invalides qu'on voulait* plugins_erreurs() pour gerer le cas xml en erreur ou incompatibilite avec la version de SPIP* (pas sur la branche 3.1)plugin_message_incompatibilite() pour generer un message d'erreur approprie quand il s'agit de SPIP et pas d'un pluginAucune rupture de compat, ce ne sont que des ajouts : du code qui utilisait les anciennes signatures de fonction continue a fonctionner sans probleme(Dans l'interface on ne peut pas cocher un plugin non compatible avec la version de SPIP, mais en spip-cli on peut le faire et ca echouait silencieusement) r24259 | Cerdic | (mer. 13 mars 2019) | Attention au cas ou * en second argument de l'appel de la fonction objet_trouver_lien(), ce qui se produit malheureusement dans la fonction objet_dupliquer_liens() r24260 | Cerdic | (mer. 13 mars 2019) | respecter les arguments et dans objet_dupliquer_liens(), y compris quand ca concerne un lien qui part de l'objet source r24278 | Cerdic | (lun. 08 avril 2019) | utiliser var_export qui fait le job plus surement r24279 | Cerdic | (lun. 08 avril 2019) | sanitizer var_memotri avant de l'utiliser (G0uz) r24280 | Cerdic | (lun. 08 avril 2019) | v1.3.11 (securiser var_memotri) SPIP-plugins-dist spip-3.1.9 -> spip-3.1.10 08 avril 2019 ------------------------------------------------------------- r113550 | cedric | (lun. 21 janv. 2019) | Report de r105250 : Il arrive parfois que des documents images soient téléversés avec la mauvaise extension par rapport à leur contenu réel. Par exemple recevoir un fichier.jpg alors que son contenu est du png.On corrige cette subtilité lorsqu’on ajoute un document. Dans ce cas le nom du fichier reçoit en complément la nouvelle extension (il devient donc ici fichier.jpg.png), et on le stocke dans le bon répertoire (ie: IMG/png/fichier.jpg.png). Quelques logs au passage de ces cas. r113879 | cedric | (mar. 12 févr. 2019) | Report de r113877 : Fix https://core.spip.net/issues/4282 casse par r87494 qui avait renomme par erreur la boucle _forum en _forums (JLuc) r113885 | cedric | (mar. 12 févr. 2019) | Report de r113883 : une indirection manquante signalee dans https://core.spip.net/issues/4282 (JLuc) r114015 | cedric | (ven. 22 févr. 2019) | Report de r114013 : Envoyer des mails en from d'un inconnu c'est de l'usurpation d'identite et ca peut vous conduire au commissariat, en plus d'etre vu comme un SPAM par beaucoup de fournisseur de mail. On laisse donc le from par defaut du site, mais un mets un Reply-To a l'envoyeur et l'email de l'envoyeur suppose (mais pas verifie) en signature du message. C'est plus robuste et moins sujet a litige SPIP-Core spip-3.1.8 -> spip-3.1.9 18 janvier 2019 ------------------------------------------------------------- r23952 | cedric | (ven. 16 mars 2018) | Report de r23950 : Up ecran securite pour valider_xml encore r23960 | erational | (lun. 26 mars 2018) | Bonne année 2018 r23970 | cedric | (mer. 18 avril 2018) | Report de r23968 : cet espace ajoute a tort par r22569 casse l'affichage des tags dans les articles syndiques de l'espace prive r23987 | ben | (mar. 15 mai 2018) | Dites 33 ! prendre en compte un protocole plus long que d'habitude pour les urls maSuperAppli:// ... On passe de 7 à 33 ce qui devrait largement convenir https://core.spip.net/issues/4135 r24001 | cedric | (mar. 12 juin 2018) | Report de r23999 : intval ici, c'est pas plus mal r24006 | b_b | (ven. 15 juin 2018) | report de r24004Fix #4151 : passer l'id_groupe en paramètre lors de la "création rapide" d'un mot depuis une page mot... en passant id_groupe dans le contexte du bandeaupatch temporaire en attendant que #3844 soit réglé r24016 | cedric | (ven. 29 juin 2018) | Report de r24012 : Retablir le support des sockets dans connect.php que le passage a mysqli avait casse (syntaxe differente entre mysql_connect() et mysqli_connect()) r24017 | cedric | (ven. 29 juin 2018) | Report de r24013 : complement de r24012 pour la connexion en mysqli par socket : il faut mettre null dans le port, fournir login et pass et le host peut etre 'localhost' r24020 | cedric | (mar. 03 juil. 2018) | Report de r24018 : Fix #4157 : les inconsistances de PHP nous avaient enduit en erreur. On croyait bien faire en explicitant tls:// comme protocole pour l'ouverture des sockets, grave erreur cela limitait a SSLv1.0.Il faut revenir a ssl:// pour avoir une negociation sans limite du protocole crypto et donv pouvoir acceder a TLSv1.1 ou TLSv1.2 pour les serveurs qui ne supportent que cela les autres etant non securises r24035 | cedric | (jeu. 02 août 2018) | Report de r24033 : Appel du cron non bloquant :L'appel du cron de secours via une image background bloque certains scripts JS le temps que le cron s'execute, ce qui peut etre genantOn modernise via un appel en JS+xhr simple (pas grave si ne marche pas sur des vieux navigateurs) et un