Messages récents

Pages: 1 ... 5 6 7 8 9 [10]
91
Logiciels Logiciels / PHP - CVE-2026-109618 / CVE-2026-109619
« Dernier message par acut3 le Hier à 17:34:46 »
Puisqu'on évoquait la sécurité de PHP face aux autres langage, je me permet de signaler qu'on vient d'avoir aussi Node2Shell, lié à une faille dans le décodeur Brotli de Google (CVE-2026-111497).

Pour Express en particulier c'est une faille du même niveau que celles de PHP puisque qu'on peut l'atteindre via le corps d'une requête, donc tout serveur est vulnérable. Comme quoi ;)

Les détails : https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/
92
Donc c'est le moment d'updater, la 2.0 étant end of life depuis peu.

D'ailleurs dans la même PR on voit aussi "It goes a bit further and will not write sessions where cookies are not present/allowed. I believe this last part can significantly decrease MySQL CPU workload for websites that are getting crawled heavily" donc c'est aussi bon à prendre ;)
94
SMF 2.1 a déjà des améliorations techniques qui peuvent aider (IPv6 natif, gestion des Reverse Proxies, etc).
C'est quelle version sur le forum ?

J'ai parlé d'enlever les PHPSESSID des URLs mais ils sont en fait ajoutés par SMF et pas directement par PHP, donc session.use_only_cookies = 1 ne suffit pas. Mais je vois que la version 2.1.7 de SMF supprime l'injection de PHPSESSID des URLs (https://github.com/SimpleMachines/SMF/pull/8394).
95
Tu veux dire "premium = payant"?
Il ne faut faire payer que si le forum n'a pas les moyens financiers pour survivre. Sinon, ça n'aurait pas de sens: récupérer de l'argent pour quoi faire? Faire fuir les gens?
Et si on a vraiment besoin d'argent, je préfère largement que ça se fasse par des dons basés sur le volontariat, ça fonctionnerait forcément avec notre communauté. Je serais partant pour contribuer financièrement, personnellement, pas de pb.
Oui, d'où mon "malheureusement", et plus loin dans mon mesage: "C'est juste une info, pas une suggestion. ".

Le pire forum publique que je connaisse en accès est l'officiel de swtor, et bien avant l'arrivée des IA.
- avec un compte gratuit: lecture seule
- avec un compte premium ou anciennement premium: lecture et écriture
Et pour le moment, sans compte c'est encore en lecture seule. Donc un premium en lecture de forum publique n'est visiblement pas encore retenu, même quand un système freemium existe.

Pour en revenir aux "parades", je pense qu'on est allé au bout de ce qu'il est possible et pertinent de faire avec le filtrage IP, il faut clairement passer à l'étape suivante.
Vivien, tu es d'accord avec ça?

Je ne sais pas si le code du forum (SMF) permet de le faire, mais présenter aux visiteurs (=non inscrits) un site statique, sans aucun chichi (pas d'heure, de compteur, d'affichage des membres présent, de temps de génération de page, d'affichage customisable), tout ça utilisant fortement le cache, ça serait sans doute très bénéfique.

Il y a la solution des systèmes de captcha visibles ou invisibles.

Il y a enfin la solution des proxy de type Cloudflare.
SMF 2.1 a déjà des améliorations techniques qui peuvent aider (IPv6 natif, gestion des Reverse Proxies, etc).
96
Orange 5G/4G Orange / Panne mobile Orange 21/10/2026
« Dernier message par renaud07 le Hier à 16:07:45 »
À croire que tout le monde réclame ses 10€, 15 min que j'attends sur le chat sosh, aucune réponse  ;D

J'aurais peut-être pas du passer par le lien réclamation.
97
Fair enough, mais si un admin bloque des IP classées comme hosting, c'est parce qu'il ne veut peut-être pas de ce traffic? My network, my rules?

J'entends l'argument technique, mais "si tu veux scraper, t'as pas le choix", c'est un peu comme de dire que si tu veux voler des playstations, faut des cagoules et des barres à mines : ca reste des méthodes de sagouins, et c'est pas honnête.

Absolument, on est sur deux réalités pas forcément réconciliables
98
Question naïve : la plupart des IP venant de free-pro (ex jaguar?), pourquoi ne pas simplement bloquer leur AS d'origine? Avec un bel écran leur demandant de demander à leur opérateur de prendre contact avec le gestionnaire du site (vivien?) pour le faire débloquer?
Il y a de plus en plus de forums qui mettent en liste noire des AS qu'ils estiment perturbateurs voir nuisibles, ils se genent pas.
Il faudrait pouvoir distinguer les IP des abonnés Freebox Pro de celles des serveurs.

En regardant les headers retournés par le serveur je vois un Expires: Mon, 26 Jul 1997 05:00:00 GMT. Je doute que les bots l'utilisent, mais si ils le font, ça ne doit pas les aider à prendre une décision éclairé.
Le Last-Modified est aussi toujours la date courante, mais c'est par nature du fonctionnement de SMF (et même sans compte, le nombre de lectures d'un sujet change, etc...).
Et même si les bots envoient le If-Modified-Since comme un navigateur (pas sûr), SMF ne peut pas leur répondre un "304 Not Modified".
99
Je vais me faire l'avocat du diable pour une fois :
- Beaucoup de sites bloquent déraisonnablement les IP classés comme hosting
- Beaucoup de gros sites ont mis des ACL tellement violentes par IP que parfois si tu veux crawler, t'as pas trop le choix :)

Fair enough, mais si un admin bloque des IP classées comme hosting, c'est parce qu'il ne veut peut-être pas de ce traffic? My network, my rules?

J'entends l'argument technique, mais "si tu veux scraper, t'as pas le choix", c'est un peu comme de dire que si tu veux voler des playstations, faut des cagoules et des barres à mines : ca reste des méthodes de sagouins, et c'est pas honnête.
100
Une autre parade est malheureusement en train de s'étendre au-delà des sites d'informations comme Next: le Premium.
Tu veux dire "premium = payant"?
Il ne faut faire payer que si le forum n'a pas les moyens financiers pour survivre. Sinon, ça n'aurait pas de sens: récupérer de l'argent pour quoi faire? Faire fuir les gens?
Et si on a vraiment besoin d'argent, je préfère largement que ça se fasse par des dons basés sur le volontariat, ça fonctionnerait forcément avec notre communauté. Je serais partant pour contribuer financièrement, personnellement, pas de pb.

Pour en revenir aux "parades", je pense qu'on est allé au bout de ce qu'il est possible et pertinent de faire avec le filtrage IP, il faut clairement passer à l'étape suivante.
Vivien, tu es d'accord avec ça?

Je ne sais pas si le code du forum (SMF) permet de le faire, mais présenter aux visiteurs (=non inscrits) un site statique, sans aucun chichi (pas d'heure, de compteur, d'affichage des membres présent, de temps de génération de page, d'affichage customisable), tout ça utilisant fortement le cache, ça serait sans doute très bénéfique.

Il y a la solution des systèmes de captcha visibles ou invisibles.

Il y a enfin la solution des proxy de type Cloudflare.

Leon.
Pages: 1 ... 5 6 7 8 9 [10]