[Fermé] Alerte Smarty - Version imprimable

+- Forum CMS Made Simple FR (https://forum.cmsmadesimple.fr)
+-- Forum : Général (https://forum.cmsmadesimple.fr/forum-3.html)
+--- Forum : Général (https://forum.cmsmadesimple.fr/forum-10.html)
+--- Sujet : [Fermé] Alerte Smarty (/thread-4648.html)

---

[Fermé] Alerte Smarty - jce76350 - 21/02/2022

Pour information la version de Smarty utlisée sur CMSMS  est la 3.1.31 qui date du 14/12/2016 ( Smarty.class.php => const SMARTY_VERSION = '3.1.31'
Il existe depuis cette date des alertes de sécurité (Security)
[3.1.43] - 2022-01-10
Security
    Prevent evasion of the static_classes security policy. This addresses CVE-2021-21408
[3.1.42] - 2022-01-10
Security
    Prevent arbitrary PHP code execution through maliciously crafted expression for the math function. This addresses CVE-2021-29454
[3.1.39] - 2021-02-17
Security
    Prevent access to $smarty.template_object in sandbox mode. This addresses CVE-2021-26119.
    Fixed code injection vulnerability by using illegal function names in {function name='blah'}{/function}. This addresses CVE-2021-26120.
3.1.33-dev-4 -
bugfix regarding Security Vulnerability did not solve the problem under Linux. Security issue CVE-2018-16831

la dernière version de Smarty est la 3.1.44 du 18/01/2022
qui corrige ces failles et aussi d'autres bugs

Avant la sortie de le 2.2.16 j'avais poser la question à un développeur sur ce soucis de mise à jour (pas prévue)
Donc voila comme il y a des membres de la Team qui lisent ce forum j'informe 

---

RE: Alerte Smarty - jce76350 - 22/02/2022

Donc la suite ... pour une correction des CVE
- pour intégrer le paquet Smarty 3.1.44 sur la version CMSMS 2.2.16 c'est possible sans trop de difficultés   enfin sur mes tests aussi bien en local en PHP 7.4.28 et 8.0.16 que sur un serveur PHP 8.0.15
La cause  &$smarty)  //  passed by reference
- en local sur une version brute d'installation modules standard ET sans modules externes
- sur le serveur une version de production multilangues avec modules standard + modules externe ( SmartyExt + DownCnt)

Pour mettre à jour :
* Il suffit de renommer le dossier  /lib/smarty existant en smarty3131 et d'ajouter le nouveau dossier smarty (3.1.44)
* Mais il faudra corriger quelques fichier
Pour la partie Admin modification des fichiers
/admin/systeminfo.php ligne 47
  function systeminfo_lang($params,$smarty)  // -& de ,&$smarty)  OK smarty-3.1.44
/admin/checksum.php ligne 40
  function checksum_lang($params,$smarty)  // -& de ,&$smarty)  OK smarty-3.1.44
Pour la partie site Web modification des fichiers
/lib/classes/internal/class.CMS_Content_Block.php  ligne 324
  public static function smarty_fetch_pagedata($params,$smarty) // -& de ,&$smarty)  OK smarty-3.1.44
/lib/classes/class.usertagoperations.inc.php  ligne 305  (cause balise utilisateur {cookies} pour afficher une popup d'information)
  $code = 'function '.$functionname.'($params,$smarty) {'.$row['code']."\n}"; // -& de ,&$smarty)  OK smarty-3.1.44

UPDATE 24/02/22 (à cause d'un plugin de téléchargement (DownCnt)
ajout de /lib/classes/class.CMSModule.php ligne 249
final static public function function_plugin($params,$template) // -& de ,&$template)  OK smarty-3.1.44

A vous de tester et de donner vos résultats en fonction de modules installées
Si besoin du paquet Smarty 3.1.44 et des fichiers modifiés -> envoyer moi un mail

NOTA PHP 8.1.x c'est inutile trop de correction de code à faire des warnings et plus ..

---

RE: Alerte Smarty - Ouik - 24/02/2022

Je viens de voir qu'ils ont sorti une version 4.1.0 compatible PHP 8.1.
Il va falloir qu'on avance sur les versions…

Merci pour le rappel !

---

RE: Alerte Smarty - jce76350 - 24/02/2022

Citation :Je viens de voir qu'ils ont sorti une version 4.1.0 compatible PHP 8.1.

Comme je l'ai indiqué c'est pas la peine de prendre cette version "trop de correction de code à faire des warnings et plus..."
c'est incompatible CMSMS qui lui même est incompatible PHP 8.1
il faut déjà mettre à jour en smarty 3.1.44    pour PHP 8.0
PHP 7.4.xx  n'est plus qu'en "Security" juqu'au 28 Nov 2022

et vérifier  la compatibilité des modules en PHP 8.0 déjà

---

RE: Alerte Smarty - Ouik - 25/02/2022

Oui tu sais j'avais compris, pour la version smarty et PHP et CMSMS.

---

RE: Alerte Smarty - jce76350 - 05/03/2022

Ha tiens encore un truc pour ... ou erreur de nommage plutôt
dans les fichiers du cms le dossier /lib/smarty (smarty) est tout en minuscules alors que dans le dossier /phar_installer/lib/ il est Nommé Smarty avec un S majuscule

---

RE: Alerte Smarty - jce76350 - 08/03/2022

Pour information j'ai mis en ligne une version "2.2.16a Truro-modification 05/03/22" complète avec la version smarty 3.1.44  + les fichiers modifiés sur ma page "Ressources pour CMSMS Version 2.2.x"compatible PHP 8.0.x et PHP 7.4.28.  en 2 versions installateur et Jeu de fichiers.
Vous pouvez tester et me donner des retours

EDIT 11/03/2020 - la version passe en 2.2.16.1b pour éviter l'alerte Admin sur la version

---

RE: Alerte Smarty - jce76350 - 20/04/2022

Sujet fermé
suite
- à la sortie sur le SVN de "Smarty now upgraded to 3.1.44"
- la future version 2.2.17

---