Tout d’abord merci pour ce tutoriel, qui m’a permi de débusquer beaucoup de voleur de contenu, mais j’ai 2 questions :

- dans la dernière version V1.4.2 dans l’onglet hotlinks j’ai une colonne avec un #, à quoi corresponde les chiffres de cette colonne ?
- je n’arrive pas à faire afficher l’image que j’ai défini dans les options sur les sites distant, rien ne s’affiche. Y-a-t-il une manipulation particulière pour que celle-ci s’affiche.

Merci pour votre aide.

Nb : Pour Julio, je ne dis pas que tu mords, je conçoit également que pour toi c’est un taf, mon seul but pour moi est d’avancer.
Crois moi que si je disposais de budget je me serais même pas pris la tête, mais ce n’est pas la cas.
Je me suis peut être un peu emporté dans mes discutions, et je m’en excuse, mais comme je dis j’ai besoin de vacances actuellement.

Dans vos messages en dehors d’une certaine difficulté à échanger, apparait la même idée : travailler ensemble pour faire avancer tout cela.

Donc :

Comme je tiens pas à créer un quelconque règlement de compte et pour moi il est important d’avancer.
Ma proposition tient toujours et c’est la meilleure pour la communauté qui utilise PictPocket,
Tu continue le dev avec moi, je met ton nom dans l’équipe de dev et on avance.
Et tu verra que tu en tirera plus de bénéfices…

Je suis un peu déçu et étonné de ta réaction Olivier. D’abord je réponds à Cédric (en fait, je copie/colle ma réponse que je lui ai faite sur mon blog) :

Ou pas !
Je viens de re-tester avec la 1.4.2 pour être sûr et d’autres failles sont présentes, et bien aussi graves qu’une SQLi.
Je ne divulgue pas encore car c’est vraiment très grave (je peux lire le contenu d’un fichier .php comme un .txt, merci le wp-config.php … ).
Mais l’auteur n’a pas désiré corriger ces failles, je vais le relancer puis divulguer ces failles au 01/09/11, un an après la découverte, c’est plutôt correct non ?
Merci tout de même !
ps : je recommande de supprimer cette extension dans l’état actuel !

Ensuite je tiens à te rappeler Oliver que tu m’as demandé quelque chose du genre « indique moi numéros de ligne et type de correction à apporter, je ferais le nécessaire », tu as donc sorti une 1.4.0 sans avoir eu ces infos ET sans me tenir au courant. Je découvre donc une 1.4.2 qui traine avec elle les failles, et d’autres maintenant.

Donc oui, j’ai demandé que les correctifs soient payés. Je vais vous faire une image :
J’aimerai utiliser une copie de ta voiture (ton plugin), mais avant, pour être sûre qu’elle est bien et sans danger, je vais lui faire passer un controle technique (audit de sécurité).
Suite à ce CT, je découvre que des réparations sont à effectuer (correctifs de dév), je t’informe en disant « Dis, j’ai fait un CT gratuit sur ta voiture et … il y a des choses à réparer comme les freins, les pneus, l’embrayage », toi tu me dis « Ha merci, donne moi de nouveaux pneus, des plaquettes de freins etc, je ferais le nécessaire ». Je te réponds donc « euh, là c’est payant par contre :/ Le CT a été fait gratuitement de mon plein grès mais là stop. » Puis tu t’en offusques Mince.

Pardonne moi Olivier, je veux bien te donner le détail des failles et leur nom, mais le numéro de lignes euh non car ça veux dire que je devrais chercher pile poil où ça se trouve. En tout cas, pas gratuitement effectivement. Si tu souhaites que je te fasse un véritable audit exhaustif avec rapport complet en PDF, avec snippets de codes de corrections, je suis dispo et même, je te fais un prix : le tiens ! Je le dis ici : tu peux me verser un don du montant que tu estimes correct et je te fais cet audit. Marché conclus ? (1)

Après, je ne t’oblige pas ! Mais comprends aussi que c’est mon métier (le dév php, dev de plugins et sites et audit de sécurité de sites et app web) et que si je souhaite en vivre, c’est mon choix, je te laisse libre de refuser, pas obligé de me tailler un short en public

Bon, si tu décides de laisser tomber le plugin, alors je te le dis : Je le reprends de suite car c’est un bon plugin, utile et tout, qu’il ai des failles est au un autre problème. Mon travail d’audit n’est pas là pour montrer les faiblesses du développeur ni pour juger de la qualité de son travail, car ici, le travail de développement est BIEN FAIT ! La sécurité est un AUTRE domaine, c’est tout à fait normal que ai pu faiblir de ce côté. Loin de moi l’idée de te tirer dans les pattes confrère

Si donc tu le « laches », mets une 1.4.3 informant que tu stoppes le plugin et que la 2.0 prends le relai, je ferais cette 2.0

Si tu ne souhaites plus lacher le plugin, alors mail moi et je te donne les PoC (Proof of Concept) des failles si le marché (1) te va

Bonne lecture à tous, longue vie à PictPocket :]

Je crois que c’est moi qui t’ai rapporté la mise à jour (suite au message de la fameuse faille) ; cela a été corrigé avec la version 1.4

http://wordpress.org/extend/plugins/pictpocket/changelog/