[News] Joomla 3.9.21 Release Candidate

[pmleconte]

Bonjour,

Pour bien terminer cette période de congés, quoi de mieux que de tester la version 3.9.21 RC, la version officielle arrivant mardi 25 Août entre 15h et 17h.

Cette version RC (Release Candidate) est disponible à l'adresse https://github.com/joomla/joomla-cms.../tag/3.9.21-rc

Elle contient une vingtaine de corrections/améliorations : voir https://github.com/joomla/joomla-cms...a%21+3.9.21%22

Rappel : cette version ne doit pas être installée sur des sites de productions, elle est là pour repérer d'éventuelles incompatibilités, anomalies,....

Comme signalé par Jean Marie lors de la mise à disposition d'une précédente version RC, cette version ne contient pas les corrections de sécurité, elles seront incluses dans la version stable.

N'hésitez pas à signaler tout dysfonctionnement, régression, ... bref, tout ce qui vous semble bizarre.

Bons tests,

Pascal

[daneel]

Bonjour,

Il est intéressant de noter la directive CSP à réaliser manuellement (et recommandée par l'équipe de sécurité) dans le fichier htaccess pour sécuriser les fichiers SVG et empêcher l'écriture de code js dans ces fichiers. On peut même l'appliquer directement sur nos sites sans attendre la mise à jour.



Pour plus d'infos, suivez les correctifs indiqués en lien par Pascal ou attendez l'information qui sera inclus dans les messages de notification et traduit en français (remerciement à jm et à toute l'équipe de traduction).

<FilesMatch "\.svg$">
<IfModule mod_headers.c>
Header always set Content-Security-Policy "script-src 'none'"
</IfModule>
</FilesMatch>

[cavo789]

Bonjour

Pour illustrer la remarque pertinente de Yann, un petit exemple pour illustrer un fichier SVG qui, ici, contient juste du CSS : https://raw.githubusercontent.com/wo...ter/banner.svg (faites un View-source pour voir le contenu). Rien n'empêcherait d'ajouter du javascript dans la balise <foreignObject>.

Potentiellement, un SVG peut donc contenir du code exécutable et p.ex. permettre de voler des cookies.