PHP et MySQL ne font l'objet d'aucune alerte de sécurité dans leurs versions courantes :
PHP 5.2.6 et 4.4.9; MySQL 5.0.67 (communauté) , 5.1.26 et 6.0.6.
Les mises à jour sont recommandées vers ces versions.

7 alertes de sécurité ont été émises cette semaine, concernant des applications suivantes :

Drupal, Gallery, Horde, Invision Power Board, Joomla, WordPress et vBulletin

• Drupal Content Construction Kit Script Insertion Vulner...
  
   http://secunia.com/advisories/31757/ (0 visite)
  
  Site :  http://drupal.org/ (0 visite)


• Easy Photo Gallery Multiple SQL Injection and Cross-Site Scripting Vulnerabilities
  
   http://www.securityfocus.com/bid/31125 (0 visite)
  
  Site :  http://gallery.sourceforge.net/ (0 visite)


• Horde, Popoon frameworks common input sanitization errors (XSS)
  
   http://www.ocert.org/advisories/ocert2008012.html (0 visite)
  
  Site :  http://www.horde.org/ (0 visite)


• Invision Power Board Input Validation Flaw in 'xmlout.php' Let...
  
   http://www.SecurityTracker.com/alerts/2008/Sep/1020817.html (0 visite)
  
  Site :  http://www.invisionboard.com/ (0 visite)


• Joomla! Multiple Remote Vulnerabilites and Weaknesses
  
   http://www.securityfocus.com/bid/31103 (0 visite)
  
  Site :  http://www.certa.ssi.gouv.fr/site/CERTA2008AVI453/CERTA2008AVI453.html (0 visite)


• Vulnérabilités de WordPress
  
   http://wordpress.org/ (0 visite)
  
  Site :  http://www.netsecurity.org/vuln.php?id=5856 (0 visite)


• vBulletin "$newpm" Parameter Cross-Site Scripting
  
   http://www.vbulletin.com/ (0 visite)
  
  Site :  net-security (0 visite)

•  phpsecure (0 visite)


•  secunia (0 visite)


•  securityfocus (0 visite)


•  securitytracker (0 visite)

MySQL dispose de la commande SHOW GRANTS pour afficher les droits d'un utilisateur, pour peu que l'on connaisse son nom et son hôte. C'est pratique de manière atomique, mais comment s'y prendre pour traiter un site avec 50 utilisateurs et plus? Il est impensable de rechercher tous les droits de tous les utilisateurs.

Les tables mysql.* vous donneront la solution, mais la hiérarchie des droits de MySQL nous rattrape : pour détecter un droit de lecture dans une table, il faut vérifier que l'utilisateur a les droits dans la base ... et au niveau global.

Sheeri a trouvé la solution en une seule requête, via UNION. Plus une autre requête pour produire directement les requêtes de SHOW GRANTS, pour aller encore plus loin.

•  Creative SQL: How to Easily SHOW GRANTS for Many Users (0 visite)
•  maatkit (0 visite)

Google avait attiré l'attention du monde MySQL en publiant un patch au code source pour une réplication synchrone : les transactions sont validées dans le maître quand elles ont été validées au moins sur un esclave. Voilà résolvait le problème de retard de réplication de nombreuses architectures.

Depuis, je n'ai pas relevé de nouvelles, mais le projet n'est pas mort, loin de là! Il y a une longue liste de patch pour MySQL 4 et 5. Il y a des statistiques d'utilisation des ressources beaucoup plus fines que celles fournies de base, et notamment cette perle de MySQLPerformancesBlogue pour identifier les index inutilisés!

InnoDB est aussi le centre de beaucoup d'attention, ainsi que les mutex (pour les accès concurrents), et les informations de surveillances. Il y a même un serveur HTTP intégré à MySQL..

Notons que ce patch requiert une version recompilée de MySQL, ce qui va en freiner l'utilité. Ni Proven Scaling, ni Percona ne distribue de version patchée actuellement. Un candidat?

•  Unused indexes by single query (0 visite)
•  google-mysql-tools (0 visite)

OpenID est une de ces technologies fort pratique, qui permet d'industrialiser les capacités d'identification sur le Web. Industrialiser, au sens utilisateur du terme : au lieu d'ouvrir des millions de comptes sur différents sites, et de les oublier (ou d'utiliser une application de mot de passe pour la gérer), vous pourriez mettre en place une identité OpenID, pour utiliser une seule carte de visite.

Comment ? Probablement en lisant d'abord cet article, bien orienté pour programmeurs PHP.

•  A Primer for OpenID with PHP (0 visite)
•  OpenID (0 visite)