Faille sécurité Virtuemart

[domallia]

Bonjour

Quid de cette info sur la site de joomla.org ?

VirtueMart
This extension has been unpublished for the following reason:

UR3: Vulnerable Extension

View error codes
http://vel.joomla.org/live-vel/1650-...-0-0-and-3-0-2

UR3-Vulnerable Extension

End Users: If you use this extension, there is a substantial risk that your site could be hacked. Contact the developer immediately for a solution/patch.

Developers: If this is your extension, please review the process necessary to mark the VEL report as solved. See http://docs.joomla.org/Vulnerable_Ex...d_from_the_VEL The VEL team must removed your extension from the VEL before we will republish the JED listing.

Avez-vous des infos ?

[RobertG]

Re : Faille sécurité Virtuemart

VM en est à la version 3.0.3 depuis le 9 janvier http://dev.virtuemart.net/projects/virtuemart/files , et l'alerte ne parle, le 22, que des versions 3.0.0 et 3.0.2
Par contre, sur le site de Virtuemart, les téléchargements sont toujours ceux de la 3.0.2 et je n'ai pas vu d'alerte sur cette faille.

[domallia]

Re : Faille sécurité Virtuemart

comme tu le soulignes, la version 3.0.3 est en développement et il n'est pas question de l'utiliser en production, pas plus qu'il n'est raisonnable de fonctionner avec une version qui comporte des failles.
Je suppose que le site des extensions ne supprime pas un composant comme Virtuemart sans raison valable.

Je sais qu'en septembre 2013, à l'occasion d'un problème de même nature sur la 2.0.6 et la parution dans divers média de cette faille, les développeurs avaient protesté. + de 3millons de boutiques, on comprend leur gêne.
Sauf qu'en tant qu'utilisatrice, mon problème c'est de connaitre le risque. A chacun ses problèmes.

D'où mon message sur la suppression du composant dans le site officiel de téléchargement Joomla.
On peut se poser des questions concernant cet évènement quand on utilise Virtuemart en production. Les utilisateurs doivent être informés.

[alatak]

Re : Faille sécurité Virtuemart

Bonjour

la faille est une faille très dure à reproduire. La JED a décidé de suspendre la publication de VM, bon c'est leur droit.
La faille a été corrigée, mais le projet est toujours dans un processus de développement, et (eh oui aussi ) à corriger des bugs, ou bien une nouvelle fonctionnalité a été développée,et pas finalisée.

Il est parfois difficile de faire une release du jour au lendemain.

[alatak]

Re : Faille sécurité Virtuemart

Bonsoir,
Je ne voulais pas dire que la release allait prendre du temps
Mais comme toutes les releases, elle passe par un process de tests automatique, et de tests avec des utilisateurs.
Elle est dans les starting block .

[domallia]

Re : Faille sécurité Virtuemart

Merci pour les deux réponses.

Je regrette que Virtuemart ne tienne pas les utilisateurs informés.
Bon, je continue donc de travailler en local sur le transfert vers Joomla 3 et Virtuemart, chose que j'attendais depuis longtemps. D'ici là, la nouvelle release sera certainement prête.

Re merci

[alatak]

Re : Faille sécurité Virtuemart

Bonjour
Voila la version 3.0.4 est sortie:

http://virtuemart.net/news/latest-news/467-release-of-virtuemart-3-0-4

[doc_denis]

Re : Faille sécurité Virtuemart

Oups, merci pour l'info, je vais mettre à jour.

[domallia]

Re : Faille sécurité Virtuemart

Bonjour
Voila la version 3.0.4 est sortie:
http://virtuemart.net/news/latest-ne...rtuemart-3-0-4

Merci beaucoup pour l'info !