[Problème] comment trouver la faille de sécurité (le plugin ou module) dans joomla3 ?

[amiens80]

bonjour,
depuis vendredi (jeudi dans la nuit), notre vieux joomla3.10.12 envoie des mails automatiques à nous par le biais du module contact qui sert de formulaire de contact.
On ne peut pas le passer à j4 ni j5 (pb de template) donc on est resté en 3.

comment déceler le problème qui fait que le pirate/bot utilise une faille dans la partie module de contact ?
cette faille est-elle recensée par l'équipe joomla ?
Si je désactive l'envoie des mails dans les paramètres serveur, bien sûr rien n'est plus envoyé.
J'ai pourtant mis le captacha de google qui est censé éviter les bots mais la faille est plus forte.
Donc soit ça vient du module de contact, soit de la fonction mail native de J3.

quelqu'un a-t-il le même souci depuis cette date ?

[amiens80]

si la faille ne peut pas être désactivée/résolue à la main, y-a-t-il un moyen de faire en sorte qu'aucun mail ne parte quand il contient un caractère € ou $ ou quand il contient un lien vers t.me ??
actuellement on utilise la methode PHPmail dans la config, peut-être existe-il en joomla3 un plugin ou moyen d'ajouter un filtre pour valider l'envoi ?

[Helloo]

Joomla 3 n'est plus suivi pour les failles de sécurité. Il faudrait absolument refaire le site avec Joomla 5. Concernant le template, il y a suffisamment de modèles, soit avec Cassiopeia, Astroid, etc...

Et, il y aura encore plus de problèmes à venir sous Joomla 3, en plus, c'est perdre son temps.

[daneel]

Bonjour,

Comme indiqué plusieurs fois sur le forum et je l'ai encore écrit récemment (il y a 3 jours ) :

https://forum.joomla.fr/forum/joomla-5-x/questions-g%C3%A9n%C3%A9rales-ab/2066207-email-du-site-et-avalanche-de-spams

La leçon à retenir : ton site peut involontairement envoyer des mails depuis ton adresse. Pour limiter les risques, je recommande de désactiver la fonction de copie à l'expéditeur, d’ajouter des protections comme des captchas ou des "pots de miel" pour contrer les scripts malveillants qui pourraient exploiter directement ton système d’envoi. Enfin, il est préférable d'utiliser une adresse dédiée, du type noreply@nomdusite.fr ou nepasrepondre@nomdusite.fr, pour les emails transactionnels (contact, création de compte, réinitialisation de mot de passe, etc.).

J'ai écris "je recommande" de désactiver mais ce serait plutôt une obligation !