Bonjour,
Nous utilisons la version 10 de dodoc et un test de vulnérabilité a révélé une faille de sécurité dans bundle.js, lié à DOMPurify 3.0.3 (CVE-2024-45801)
Cette faille a-t-elle été corrigée dans une version de dodoc plus récente ? Si oui laquelle ?
D’avance merci pour vos retours.
Pierre
Bonjour @pielas
Je ne sais pas répondre sur ce cas précis mais je pense que conserver une version de dodoc qui date de quelques années sur un serveur est plus risqué qu’une version à jour.
@louis pousse les mises à jours des librairies et corrige un bon nombre de bugs régulièrement.
La version 13 actuelle de dodoc est entièrement compatible avec tout le contenu créé sur une version 10, je recommanderais donc de faire les mises à jour vers la dernière version.
Il y a une raison particulière à rester sur une version 10 ?
Julien
Bonjour,
Merci @pielas pour le signalement. La CVE-2024-45801 concerne bien les versions de DOMPurify antérieures à 3.1.3. Elle touche toutes les versions 10 de dodoc.
Elle est corrigée depuis la version 13 : la 13.0.1 embarque DOMPurify 3.2.6, et la dernière version (13.0.43) ainsi que la v14 embarquent la 3.3.1.
Comme le dit @julien je vous conseille fortement de passer à la dernière v13, qui reste compatible avec les contenus créés en v10. Ça vous apportera aussi les autres correctifs de sécurité et mises à jour de dépendances faits depuis. Si vous relancez votre test de vulnérabilité après la mise à jour, je suis preneur du résultat 