AE Secure bloque CB Connect

[Rocky Rider]

Bonjour à tous,

Je viens d'installer le pludin (payant) CB Connect pour faire des test...
Le problème c'est qu'il est bloqué par AE Secure (version premium V2.0.3)
On me donne ce message de sécurité :

Code : 782 - Tentative d'exécution d'une attaque dite xss

Savez vous quel paramètre d'AE Secure je dois modifier pour laisser les connexion via google ?

Je vous remercie pour votre aide.

[woluweb]

dans pareil cas, il suffit d'éditer le fichier .htaccess... et de chercher le code (ici 782)

[cavo789]

Bonsoir

Quelle est l'URL précise étant bloquée ?

[Rocky Rider]

Bonsoir

Quelle est l'URL précise étant bloquée ?

Alors voici l'URL : https://www.t2area.com/components/co...serinfo.email#

[cavo789]

(SimonG pour info)

Cherche dans ton .htaccess la ligne où tu trouveras "aesecure/accessdenied.php?s=782 [L]", tu vas trouver un bloc qui commence par "#xss" une dizaine de lignes plus haut.

Supprime l'intégralité du bloc.

Le souci : ton URL CBConnect incorpore d'autres URLs (vois la partie "scope=email+profile+https%3A%2F%2F") et ça c'est pas génial car c'est une caractéristique d'une tentative d'injection. Ce n'est pas le cas ici mais voilà; c'est assez moyen de faire ainsi.

Supprime donc le bloc mentionné plus haut et tu retrouveras l'accès à cette URL.

Bonne soirée

[Rocky Rider]

Merci pour ton aide.

Du coup tu déconseilles que je me serve de ce plugin ? Ca ouvre une brèche dans la sécurité de mon site ?

[cavo789]

Bonjour

Je n'ai rien dit de tel. Juste que certaines (tentatives) d'attaques se font comme p.ex. tonsite/index.php?virus=http unsite/virus.php càd d'essayer, par une brèche sur ton site, d'injecter le contenu d'un fichier se trouvant sur un site distant.

Je ne dis pas que le plugin dont tu parles a une faille, juste que la manière utilisée pour communiquer des paramètres est "aurait pu mieux faire"; p.ex. faire un base64_encode des paramètres.

Bonne journée.