On 03/11/2026 at 13:40 Unread message

---

Les nouveautés de la version 1.2.55 de NeoFrag Reborn :

Sécurité

Une revue de sécurité complète du cœur, des modules, des widgets et des thèmes. Aucune faille critique ; tout ce qu'elle a relevé est corrigé dans cette version.

• Mises à jour et marketplace signés. Les manifestes de la mise à jour du cœur et le catalogue du marketplace sont désormais signés (Ed25519) ; un site refuse un fichier dont la signature manque ou ne correspond pas. Jusqu'ici, seule l'empreinte de chaque archive était vérifiée, et elle venait du même serveur que l'archive.
• La politique de sécurité du contenu arrête un script injecté. Le nonce n'est plus ajouté d'office à chaque <script> de la page : seuls les scripts écrits par le site le portent, et les fenêtres et listes rechargées n'exécutent que ceux-là. La politique part aussi sur les pages qui n'ont aucun script.
• Fichiers envoyés. Un .js ou un .css déposé dans les envois n'est plus jamais interprété par le serveur ; une image est enregistrée sous l'extension de son type réel ; les fichiers qu'un navigateur exécuterait (.js, .css, .xml…) sont refusés ; un renommage dans le gestionnaire de fichiers ne peut plus changer une extension refusée ; les fichiers du gestionnaire ne se servent plus directement, mais par le site, selon le droit de les lire.
• Installation. L'assistant d'installation appartient au navigateur qui l'a commencé : un autre visiteur ne peut plus la terminer à sa place.
• Connexion et sessions. Un code de double authentification ne sert qu'une fois, sur une fenêtre resserrée ; la base ne garde plus l'identifiant de session lui-même, seulement son empreinte, et il change à la déconnexion ; les limites d'essais comptent juste même sous des essais simultanés ; derrière un relais déclaré, l'adresse du visiteur ne se falsifie plus.
• Administration. Installer un addon par archive demande le mot de passe webmaster ; les liens des e-mails partent toujours de l'adresse du site fixée à l'installation.
• Paiements Stripe. Un paiement n'est crédité qu'une fois l'argent encaissé : un prélèvement SEPA ou un virement l'est à sa réception, plus dès la fin du paiement.
• Forum et messagerie. Un message retiré par la modération ne peut plus être republié par son auteur, ni un message signalé modifié avant examen ; un sujet qui a des réponses d'autres membres ne se supprime plus que par la modération ; les mentions sont limitées et ne préviennent que qui peut lire le sujet ; la publication a une limite de débit ; on n'invite plus un tiers dans une conversation à deux.
• Sondages. Le vote est réservé aux membres connectés.
• Widgets. Le nom annoncé par un serveur de jeu ou TeamSpeak est échappé ; un serveur de jeu éteint ne ralentit plus les pages ; les secrets de TeamSpeak, Twitch et YouTube sont enregistrés chiffrés et ne se réaffichent plus ; serveurs de jeu et TeamSpeak refusent une adresse privée.
• Et aussi : des textes échappés à l'affichage (galerie, commentaires, titres, pseudos) ; une annonce validée qui est modifiée repasse en modération ; une page programmée reste cachée jusqu'à sa date ; les compteurs de clics ne se gonflent plus ; l'export CSV des membres ne laisse plus passer de formule ; le livre d'or ne garde plus l'adresse IP des signataires ; la recherche a une limite de débit ; les webhooks ne visent plus que les ports 80 et 443.

Modifié

• À faire après la mise à jour :
  • chaque membre se reconnecte une fois : les sessions ouvertes avant la mise à jour ne sont plus reconnues ;
  • si vous acceptez des paiements Stripe, ajoutez l'événement checkout.session.async_payment_succeeded au webhook déclaré chez Stripe (l'administration des paiements le rappelle).
• L'installation en ligne de commande exige --site-url.
• Pour les auteurs de thèmes et d'addons : un <script> écrit dans une vue porte le nonce, <script<?php echo nf_nonce_attr() ?>> ; sans lui, le navigateur le refuse. Les scripts servis par le site (src) n'en ont pas besoin.
• Dépendances à jour (league/commonmark 2.10.7 et les bibliothèques qu'elle emploie) ; docker-compose.yml, prévu pour le développement, n'écoute plus que sur la machine elle-même.

Documentation

• L'accueil de la documentation ne répète plus cinq fois la ligne « Lire dans une autre langue » ; le contrôle de la documentation refuse désormais un paragraphe qui recopie le précédent.

---