[Résolu] Détection des fonctions désactivées par Dolibarr sur la page des infos sécurité

Beers · Août 20, 2024, 5:56

Bonjour,

Avec la version 18.0.5 Dolibarr fait visiblement un mauvais diagnostic sur la page des infos sécurité.

Il ne détecte que la première fonctions désactivée par la directive disable_functions dans php.ini
Avez-vous le même comportement sur cette version ?

Exemple : seul pcntl_alarm est considéré comme désactivé sur cette copie d’écran alors que la directive disable_functions contient une longue liste de fonctions à désactiver dans php.ini

Beers · Août 20, 2024, 6:45

Bon c’est bien Dolibarr qui merdouille, il faudrait un array_map avec trim dans le code ci-dessous pour ne pas prendre en compte le caractère espace qu’on peut trouver dans les directives php.ini

github.com

Dolibarr/dolibarr/blob/67272dddd32224868dfcb55a54fab0803072f919/htdocs/admin/system/security.php#L116


      
          } elseif (ini_get('session.cookie_samesite') == 'Strict') {
          	print ' &nbsp; '.img_warning().' <span class="opacitymedium">'.$langs->trans("WarningPaypalPaymentNotCompatibleWithStrict")."</span>";
          }
          print "<br>\n";
          print "<strong>PHP open_basedir</strong> = ".(ini_get('open_basedir') ? ini_get('open_basedir') : yn(0).' &nbsp; <span class="opacitymedium">('.$langs->trans("RecommendedValueIs", $langs->transnoentitiesnoconv("ARestrictedPath").', '.$langs->transnoentitiesnoconv("Example").': '.$_SERVER["DOCUMENT_ROOT"].','.DOL_DATA_ROOT).')</span>')."<br>\n";
          print "<strong>PHP short_open_tag</strong> = ".((empty(ini_get('short_open_tag')) || ini_get('short_open_tag') == 'Off') ? yn(0) : img_warning().' '.yn(0)).' &nbsp; <span class="opacitymedium">('.$langs->trans("RecommendedValueIs", $langs->transnoentitiesnoconv("No")).')</span>'."<br>\n";
          print "<strong>PHP allow_url_fopen</strong> = ".(ini_get('allow_url_fopen') ? img_picto($langs->trans("YouShouldSetThisToOff"), 'warning').' '.ini_get('allow_url_fopen') : yn(0)).' &nbsp; <span class="opacitymedium">('.$langs->trans("RecommendedValueIs", $langs->transnoentitiesnoconv("No")).")</span><br>\n";
          print "<strong>PHP allow_url_include</strong> = ".(ini_get('allow_url_include') ? img_picto($langs->trans("YouShouldSetThisToOff"), 'warning').' '.ini_get('allow_url_include') : yn(0)).' &nbsp; <span class="opacitymedium">('.$langs->trans("RecommendedValueIs", $langs->transnoentitiesnoconv("No")).")</span><br>\n";
          //print "<strong>PHP safe_mode</strong> = ".(ini_get('safe_mode') ? ini_get('safe_mode') : yn(0)).' &nbsp; <span class="opacitymedium">'.$langs->trans("Deprecated")." (removed in PHP 5.4)</span><br>\n";
          print "<strong>PHP disable_functions</strong> = ";
          $arrayoffunctionsdisabled = explode(',', ini_get('disable_functions'));
          $arrayoffunctionstodisable = explode(',', 'pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals');
          if ($execmethod == 1) {
          	$arrayoffunctionstodisable2 = explode(',', 'passthru,shell_exec,system,proc_open,popen');
          	$functiontokeep = 'exec';
          } else {
          	$arrayoffunctionstodisable2 = explode(',', 'exec,passthru,shell_exec,system,proc_open');
          	$functiontokeep = 'popen';
          }
          $i = 0;
          foreach ($arrayoffunctionsdisabled as $functionkey) {

akene · Août 20, 2024, 11:21

Bonjour,
Et bien c’est l’occasion de proposer une PR on dirait…
Merci d’avance pour votre contribution