Dotclear

La mise à jour de sécurité Dotclear 1.2.8 peut vous amener à vous poser la question de Dotclear 2. N'est-il pas vulnérable au même problème ?

Le gestionnaire de média de Dotclear 2 permet d'envoyer n'importe quel fichier (ou presque). On estime donc que l'utilisateur a pris ses dispositions afin que les fichiers ".php" soient affichés en text/plain et pas interprétés. Par exemple, votre configuration Apache peut contenir quelque chose comme :

<Location ~ "public/.*\.php$">
  ForceType text/plain
</Location>

Ce n'est qu'un exemple d'une configuration très simple avec un dossier nommé "public" pour les fichiers du gestionnaire de média.

Ceci étant, il est maintenant possible depuis la révision 1714 de spécifier une expression rationnelle pour les fichiers non autorisés dans le gestionnaire de média. Dans votre module "about:config", vous trouverez un champs "media_exclusion". Si vous voulez interdire le dépôt de tous les fichiers .php, vous indiquez dans le champs : /\.php$/i. Si, pour cause de possession démoniaque, vous voulez interdire l'envoi de fichiers gif, jpg et png, vous indiquez : /\.(gif|png|jp(e?)g)/i.

Exceptionnellement, la révision 1714 est déjà dans les nightly :)

Une nouvelle version de Dotclear 2, la beta 7.0.1, vient corriger un problème de sécurité pas très grave mais quand même bien présent. Les changements intervenus depuis la beta 7 et maintenant ont fait qu'il était préférable de sortir un beta 7.0.1 n'incluant que les modifications apportées pour corriger le problème. La mise à jour de votre Dotclear sera donc des plus simples.

Le problème réside dans le chargement des fichiers de langue qui pouvait être contourné afin d'inclure un fichier se trouvant ailleurs que dans les répertoires de localisation. Ce problème concerne donc principalement les hébergeurs de blogs à qui je conseille vivement de procéder à la mise à jour en beta 7.0.1.

Merci à Sacha d'avoir trouvé et signalé le problème.

Pour ceux qui mettent à jour avec subversion ou en utilisant les nightly builds, vous serez tranquilles à partir de la révision 1696.

• Téléchargez Dotclear 2.0 beta 7.0.1
• Pensez à lire les instructions d'installation et/ou de mise à jour

Note: un patch pour passer de la beta 7 (et uniquement cette version) à la beta 7.0.1 est disponible dans les patchs. Si vous ne comprenez pas ce qui est écrit sous la liste des fichiers, utilisez la procédure de mise à jour classique.

Depuis l'ouverture des comptes sur dotclear.net, vous avez été nombreux à contribuer tant aux tickets qu'à la documentation et nous vous en remercions chaleureusement, surtout moi qui suis un peu en panne ces temps-ci. Et puis vous faites ça bien : pas une seule modif de la doc sur laquelle nous avons dû revenir, les tickets sont assez souvent assortis de propositions de patch. Bref, vous êtes parfaits, ne changez surtout rien.

Encore une fois : un grand merci à vous (ne perdez pas la main) !

(En plus j'ai parié un dîner au restaurant avec Olivier que je publierais mon billet de remerciements avant qu'il ne publie le sien avec les dates de la RC et je crois que je viens de le doubler de quelques heures à moins qu'il ne soit en train de taper le sien et qu'il le mette en ligne avant moi ;)) Vous avez un restau à me conseiller ? Un bon hein !)

Le printemps est arrivé et Dotclear.net change de peau. Ces nouveaux habits sont accompagnés d'une nouveauté majeure : le compte utilisateur.

Votre participation est indispensable à la bonne santé du projet. Jusqu'à aujourd'hui, peu de moyens étaient à votre disposition. Vous pouviez vous inscrire sur le forum pour aider les autres (ce que certains font brillamment, merci à eux) ou vainement tenter d'envoyer des emails à des personnes surchargées. Autant le dire ; peut mieux faire.

Alors voilà, nous nous efforçons de mieux faire. Vous pouvez donc dès aujourd'hui ouvrir un compte Dotclear.net qui vous permettra de participer de diverses manières au projet :

La documentation

Le compte vous permet d'éditer les pages de la documentation de Dotclear. Par exemple, vous remarquez une erreur ou souhaitez compléter un passage de la documentation. Créez un compte, connectez vous et vous pourrez dès-lors éditer le wiki de documentation.

Les tickets et le suivi du développement

Vous avez constaté un dysfonctionnement avec votre logiciel de blog préféré ? Votre compte vous permet de vous connecter aux sites de suivi et ouvrir de nouveaux tickets. Quelques remarques ne seront pas de trop. Nous nous réservons le droit de fermer un ticket sans fournir d'explication (ça n'arrivera pas souvent je l'espère). Avant d'ouvrir un nouveau ticket, prenez quelques instants pour vérifier qu'il n'existe pas déjà et, s'il s'agit d'un bug, assurez vous qu'il est toujours présent sur les dernières versions en cours de développement (par Subversion ou par les nightly.

Listes de diffusion

Les options de votre compte vous permettent de vous inscrire aux listes de diffusion en cochant une simple case. C'est simple et efficace :) Il n'y a pour l'instant qu'une liste mais nous allons en ouvrir bientôt quelques autres. Notez que cette façon de s'inscrire aux listes sera bientôt la seule disponible (pour cause de spam excessif sur les adresses d'inscription.)

Voilà en somme un Dotclear.net plus dédié à la participation des utilisateurs. Oui, il était temps :) Il reste des petites choses à corriger ici et là ; la peinture est un peu fraîche. N'hésitez pas à signaler en commentaire si quelque chose vous semble mal fonctionner.

Merci à Marc pour son design d'origine que j'ai honteusement modifié et merci à l'équipe pour les tests divers, les remarques et toute sa patience.

Précisions de dernières minutes

Pour des raisons techniques le compte du forum n'est pas le même que le compte Dotclear.net. Il faut s'inscrire deux fois. Ça changera peut être un jour :)