[RÉGLÉ] Mise à jour jQuery sur Joomla 3.9.6

[miroune]

Bonjour

J'ai fait faire un scan de vulnérabilité par un pro et il m'a détecté la faille suivante (parmi d'autres) :

"Failles Medium Niveau 3 javascript library vulnerable
Vulnerable javascript library: jQuery
version: 1.12.4 detected
Solution: jQuery version 3.0.0 has been released to address the issue (http://blog.jquery.com/2016/01/08/jq...1-12-released/)."

Question : Comment upgrader vers cette version 3.0.0 ? (je suis un "amateur" mais c'est moi qui administre le site web

Précisions : je suis sur la dernière version de Joomla et mes extensions sont toutes à jour

Merci pour votre aide et éclairage

[manu93fr]

Bonsoir,
j'ai du mal a comprendre ....
- tu fais auditer ton site par un "pro"
- il détecte une "faille"
- et tu viens ici pour qu'on t'aide a résoudre ce souci, alors que tu avais un "pro" sous la main !

et pour finir ... tu ne nous donnes pas l'url de ton site, on ne peut donc rien constater à distance .... Jquery peut être appelé par une multitude d'extension !!!!

Sinon, regarde du coté de cette extension sans garantie

https://extensions.joomla.org/extension/jquery-easy/

[miroune]

Bonjour

Merci pour le lien vers l'extension, je vais regarder

Pour info , le "pro" m'a gentiment fait le check sécurité gratuitement, charge à moi de réparer (j'administre bénévolement le site web en question)
url : https://www.chalet-lalouviere.net

PS : Je souhaite tout de même apporter ma réponse suite au ton employé ici pour "m'aider" et pour aider à "mieux comprendre" :
En fait je n'étais pas venu ici pour me prendre une leçon de morale ni pour me justifier, juste pour demander de l'aide car après mes recherches je n'ai pas été en mesure de résoudre mon probleme seul , je constate à regret que ce super forum dérive et que certains se croient sur les réseaux sociaux; ce n'est pas parce qu'on est un "sachant" et modérateur de surcroit qu'il faut se croire au-dessus de tout le monde; la modestie et l'humilité sont des qualités, contrairement à la vantardise

PS 2 : Si malgré mon droit de réponse exercé certains souhaitent toujours m'aider , je suis preneur

Bonne journée

[pmleconte]

Bonjour,

Nous avons déjà eu des discussions sur les "pros" qui donnent des conseils gratuitement pour vendre leurs soupes, donc, chaque fois que l'on en voit un arriver, cela a tendance à hérisser quelques poils (de marmottes ?).

Joomla 3 utilise bien Jquery 1.12.4, cependant, il s'agit d'une version modifiée pour corriger les failles de sécurité (voir dans l'entête de media/jui/js/jquery.js).

Certains modules/templates chargent leur propre version jquery (pour utiliser des nouvelles fonctions).

Pour info, Joomla 4 (prévu en fin d'année, je sais, c'est encore loin), supprime jQuery, charge aux développeurs d'intégrer ou non leur version jQuery dans leurs extensions.

Donc, pour revenir à votre question initiale, et comme écrit plus haut, ne touchez pas à votre version jQuery qui est utilisé aussi, peut-être, par votre template T3, vos extensions....

Autre info: Yann (alias Daneel) a annoncé T4 https://forum.joomla.fr/forum/joomla...e-t4-framework qui semble se passer de jQuery.

En résumé, jQuery est en voie d'extinction, n'y touchez pas.

Pascal

[miroune]

Merci pour votre réponse constructive et vos conseils

Lorsque je parlais de "pro" (et pour en terminer avec celà), il s'agit non pas de qqu'un qui souhaite me "vendre" sa soupe mais d'un collègue de travail chargé de la sécurité informatique de sa boite
Il m'a gentiment proposé de façon spontanée, gratuite et bénévole son "éclairage" ... comme quoi l'interprétation des mots est souvent "nocive"

Bonne journée

[ghazal]

Salut,
je rejoins mes camarades sur leurs commentaires un peu "directs" certes.
Avec 2.5 millions de sites qui tournent sous joomla dans le monde, soit près de 6% de parts de marché, les devs joomla ne vont pas s'amuser à laisser passer une faille jQuery, quelle que soit la version.

Comme il a été mentionné plus haut, il faut comprendre que :
* le script de base jQuery utilisé par joomla a été légèrement modifié
* et que les failles qui peuvent exister et passer sont à 98% dues à des extensions tierces où les développeurs (de ces extensions) n'ont pas implémenté les scripts dépendants de jQuery correctement, soit dans leurs scripts, soit dans le chargement de leur version de jQuery.

Le cas classique est celui d'un module créé par un dev qui connait le php mais peu ou pas joomla et va re-charger jquery à chaque fois que le module est présent sur une page, en un ou plusieurs exemplaires.

[ghazal]

Je rajouterai que si ton collègue a détecté une faille de sécurité flagrante, il peut la signaler ici :
Joomla! Security

https://developer.joomla.org/security.html

[manu93fr]

Bonjour,
on va reprendre dans le calme et la bonne humeur

je constate à regret que ce super forum dérive et que certains se croient sur les réseaux sociaux; ce n'est pas parce qu'on est un "sachant" et modérateur de surcroit qu'il faut se croire au-dessus de tout le monde

Tu ne dois pas venir ici très souvent alors car je ne suis pas comme tu le penses mais passons ...

Si j'ai été un peu "direct", c'est qu'ici nous sommes tous bénévoles ... comme toi apparemment ... et que si tu te relis bien dans le 1er post, on n'a pas tous les éléments que tu mentionnes par la suite. Ce que je veux dire c'est que :
"J'ai fait faire un scan de vulnérabilité par un pro et il m'a détecté la faille suivante" ne veut pas dire ensuite "Il m'a gentiment proposé de façon spontanée, gratuite et bénévole son éclairage"
Car je t'aurai répondu autrement
ceci dit, ton "collègue" est surement bien sympa mais te faire cet audit de sécurité et en resté là, c'est un peu facile et un peu absurde non ? La preuve en est que tu viens ici inquiet pour avoir de l'aide ...

Maintenant pour que tu sois rassuré, ton site n'a pas de "faille" Jquery, tu peux dormir tranquille, les dev de Jooma! (eux aussi bénévoles ne l'oublions pas) font en sorte d'être en alerte sur ces points précis. Il faut au minimum leur faire confiance
Les attaques sont souvent dirigées vers l'accès backend, donc ton dossier administrator. De ce coté là, si tu veux une protection serveur, il faut sécuriser cet accès. tu peux par exemple mettre un couple htaccess/htpasswd (c'est assez simple a mettre en place) Tu peux aussi installer Aesecure en free qui fait aussi le job ... et bien plus

Bonne journée !

[miroune]

Bonsoir

Merci encore pour vos compléments

Je ne voulais pas être polémique ni trop contextualiser mon 1er post; en général je préfère décrire succintement puis aller directement à la question afin d'éviter de faire perdre trop de temps à tout le monde

Ma question était sans doute mal posée ou pas suffisament précise et j'en suis désolé

Enfin, je viens ici lorsque je n'ai pas réussi à me dépatouiller seul c'est vrai , je vais faire plus d'effort à l'avenir !

Bonne soirée à tous