[RÉGLÉ] requête sql dans champ personnalisé ne passe pas sous joomla4

[herve]

Bonsoir
Je test sur un nouveau site joomla 4, le champ personnalisé sql qui fonctionnait bien sous joomla3 !

Sous joomla 4
Si je met uniquement le select 1er OU le 2 ème, l'enregistrement se passe bien
Sinon j'ai le message d'erreur "Forbidden You don't have permission to access this resource."
C'est comme si sous joomla 4, UNION ALL poserait problème?
Si je mets le mode debug avec maxi d'infos, je n'ai rien de plus!
Etrange

SELECT '' as value, '- choisir une valeur -' as text
UNION ALL
SELECT id as value, name as text
FROM #__contact_details
WHERE catid = 26
ORDER BY case value when '' then 1 else 2 end asc , text asc

[daneel]

Bonjour,

Je n'ai pas rencontré de problème, j'ai testé dans un article sous la dernière de version de joomla 4 en changeant simplement l'id de catégorie car
je n'ai défini que la catégorie par défaut ( catid = 4 )..

En backend, j'obtiens bien la liste ainsi que le texte "-choisir une valeur-" par défaut.
En front, j'obtiens bien le résultat, rien si j'ai défini aucun choix.

[herve]

Bonjour
Etrange, tu as essayé ma requête? Les "select" seul fonctionne. J'ai essayé de changer le "'" en "" mais rien ne permet d'enregistrer le champ!
Etrange mais j'ai l'impression que l'" union all" qui bloque

J'espère que c'est pas une histoire de base de données

Voici les détails système du site joomla 4:

mysql

10.3.31-MariaDB

latin1_swedish_ci

utf8mb4_general_ci

Aucun

Non

7.4.22

Apache

litespeed

Joomla! 4.1.4 Stable [ Kuamini ] 24-May-2022 16:00 GMT

Sur le site joomla 3 où cela fonctionne

Version de la base de données	5.7.23-23-log
Interclassement de la base de données	utf8_general_ci
Collation de la connexion à la base de données	utf8mb4_general_ci
Version de PHP	7.4.25
Serveur web	Apache
Serveur web pour interface PHP	fpm-fcgi
Version de Joomla	Joomla! 3.10.8 Stable [ Daraja ] 30-March-2022 13:28 GMT

[daneel]

oui, c'est bien ta requête que j'ai testé et dans les conditions similiaires (litespeed, etc.)
sauf peut être pour les versions

php 7.4.29
et
10.3.34-MariaDB-cll-lve

[herve]

J'ai fais le même test sur un autre site (mais qui a le même environnement) => même résultat
Ok bon à priori cela pourait provenir de l'environnement? version de MariaDB?
BOn j'espère que le support de PH pourra aider sans me dire de contacter le webmaster ? (>

[roland_d_alsace]

Hello.

Essaie déjà sous phpmyadmin.

[herve]

Bonjour roland_d_alsace ca aurait été une très bonne idée car j'aurai pu vérifier que cela fonctionnait parfaitement :-) En fait c'était le WAF de PlanetHoster qui bloquait l'enregistrement du champ. Il suffit ! de désactiver momentanément le WAF de PH pendant l'opération puis de le remettre en route après l'enregistrement du champ. Merci encore une fois au support de PH de m'avoir aidé car je ne suis pas sûr d'avoir fait le lien sans cela !

[roland_d_alsace]

Bonjour roland_d_alsace ca aurait été une très bonne idée car j'aurai pu vérifier que cela fonctionnait parfaitement :-) En fait c'était le WAF de PlanetHoster qui bloquait l'enregistrement du champ. Il suffit ! de désactiver momentanément le WAF de PH pendant l'opération puis de le remettre en route après l'enregistrement du champ. Merci encore une fois au support de PH de m'avoir aidé car je ne suis pas sûr d'avoir fait le lien sans cela !

C'est quand même un peu "olé/olé" comme explication de PH !

Pourquoi bloquer cette requête, sur quels critères ?
Et en quoi cette requête aurait-elle pu être dangereuse et faire "tomber" un serveur ?
Surtout que tu dis bien qu'elle fonctionnait au préalable...

De telles contraintes me paraissent exagérées.
Qui te dit que tu n'auras pas un autre problème par la suite sur une autre requête...

En tous cas tu as eu du bol de trouver la réponse, car tu aurais pu chercher encore longtemps.

[herve]

Bon pour l'instant je n'ai pas d'autres problèmes, j'y serais attentif et je pense qu'il est bien d'avoir un outil de sécurité de ce type son site. Peut-être plus performant que les extensions ? Je pense que c'est le UNION qui a posée problème et de mémoire c'était utilisé par des pirates pour prendre la main sur des formulaires de sites !? Je ne pense pas que cela serait encore possible avec joomla 4. J'ai vu qu'il y avait des centaines de règles que l'on peut désactiver finement. Mon problème étant que cela demanderait trop de temps et beaucoup préféreront désactiver tout ... tout le temps.