Le gestionnaire de ticket MantisBT, le gestionnaire de bibliothèque Koha et la solution de webmail Roundcube sont tous les trois mis à jour afin de combler des failles de sécurité permettant des attaques de type « Cross-site scripting ».
MantisBT 1.2.19 est une mise à jour de sécurité pour la branche stable 1.2.x du gestionnaire de suivi de tickets. La mise à jour est donc fortement recommandée aux utilisateurs de la branche 1.2.x.
Les vulnérabilités concernent notamment le fichier install.php potentiellement victime d’attaque de type « Cross-site scripting » et de modification des contrôles d’accès. La possibilité d’injecter du code SQL dans le fichier manage_user_page.php est corrigée, ainsi que le court-circuitage de CAPTCHA et la redirection des URLs.
Cette mise à jour corrige aussi deux régressions observées depuis la version 1.2.18. Elles concernent le système CAPTCHA et une erreur php lors du report d’erreurs. Le détail est disponible dans le rapport de changements.
Source : mantisbt.org
Le logi
ciel de gestion de bibliothèque Koha est mis jour en version 3.16.7 et 3.14.13. La version 3.16.7 est une mise à jour de sécurité fortement recommandée qui inclut une cinquantaine de corrections de bugs et quelques améliorations. Elle est annoncée comme la dernière version de la branche de développement 3.16.x.
La version 3.14.13 est elle aussi fortement recommandée, corrigeant des failles de sécurités pouvant amener à des attaques de type « Cross-site scripting ». Elle embarque néanmoins la correction d’une demi-douzaine de bugs observés.
Source : koha 3.16.7 et 3.14.13
L’équipe de développement de la solution de webmail open source Roundcube annonce la disponibilité d’une mise à jour de sécurité. La version 1.0.5 de RoundcubeMail contient donc la correction d’une faille de sécurité amenant à des attaques de type « Cross-Site-Scripting ». Elle contient aussi quelques corrections de bugs et améliorations considérées importantes pour la branche de développement.
Considérée stable, cette version est donc recommandée à tous les utilisateurs en production.
Source : roundcube.net