Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Toweb Security Issue

David

The version 12.10 of TOWeb is available.
This upgrade of TOWeb brings several important improvements and fixes. This update addresses a security vulnerability affecting all sites created with TOWeb version 5 or higher, preventing phishing and identity theft. A full republishing of each site is highly recommended to apply this fix.

I receive this email, and I ask myself: do all those who don't have the 12 have to purchase it to be able to continue using their sites safely?
Who bought the 11 a year ago has to pay 399 or a little less today with the discount for the studio version?
Wasn't it right to put an upgrade for this flaw on all previous versions, at least the latest ones like 10 and 11?

frangin62

Bonjour, je mets ici la traduction du message de David, Tout le monde ne lit pas l'anglais.

La version 12.10 de TOWeb est disponible.
Cette mise à jour de TOWeb apporte plusieurs améliorations et correctifs importants. Cette mise à jour corrige une vulnérabilité de sécurité affectant tous les sites créés avec TOWeb version 5 ou supérieure, empêchant le phishing et l'usurpation d'identité. Une réédition complète de chaque site est fortement recommandée pour appliquer ce correctif.

Je reçois ce mail, et je me demande : est-ce que tous ceux qui n'ont pas la 12 doivent l'acheter pour pouvoir continuer à utiliser leurs sites en toute sécurité ?
Qui a acheté le 11 il y a un an doit payer 399 ou un peu moins aujourd'hui avec la réduction pour la version studio ?
N'était-il pas juste de mettre une mise à jour pour cette faille sur toutes les versions précédentes, du moins les dernières comme 10 et 11 ?

Lauyan ne revient jamais sur ses versions antérieures.
Cdlt
frangin62

David

Yes, but in this case it's scandalous frangin62, because we don't know the severity or how to intervene manually, and we explicitly talk about safety.

frangin62

I completely agree, but it has to do with Lauyan, on the forum, we have nothing to do with it.

David

I know that the forum has nothing to do with it, even if it is hosted and managed by Lauyan, so it's a phrase that finds its time... it has something to do with it, yes, but it's convenient to say the opposite.
I wanted a discussion with those who pay and purchase such software, because certain commercial strategies should not be tolerated.
That's all

frangin62

No worries, it was just a comment.
You should ask them if there is not a replacement script in the software for V11 or earlier since they are talking about a specific page _message.html .

David

I know frangin, my message was referring to Lauyan politics.
I wrote to them before here, we'll see what they reply...
Certainly if it is a problem that starts from version 5 to 12, it is something common between the various versions, and therefore can be fixed by them. Of course, if they want to sell the 12 at all costs, they won't fix the 11, and with their happiness they will get rid of me :-D

frangin62

Indeed, they are losing credibility, it took 8 main versions plus the intermediate ones to realize that there was a big problem.

Sincerely
frangin62

Ghost

Bonjour
j'ai contacté Lauyan pour essayer d'avoir plus d'explications.

Lauyan

Pour les utilisateurs des versions 11 et inférieures de TOWeb votre site est toujours sécurisé. Nos développeurs ont découverts cette vulnérabilité potentielle qui existe dans les sites depuis plus de 10 ans maintenant, n'a jamais été signalée/utilisée et n'est pas si simple à exploiter pour un pirate informatique.

For TOWeb users of version 11 and older your site is still secure. Our developers discovered this potential vulnerability that has existed in TOWeb's websites for over 10 years now, has never been reported, and is not that easy for a hacker to exploit.

frangin62

Lauyan

Vu sur votre blog, la première phrase

Correctif d'une vulnérabilité de sécurité impactant tous les sites TOWeb créés avec une version 5 ou supérieure:

Maintenant vous dites le contraire !!!! 🤔

Lauyan Pour les utilisateurs des versions 11 et inférieures de TOWeb votre site est toujours sécurisé.

Il y a un problème, là

David

That's not the right answer Lauyan, because you sent that email to hundreds of people, and you report it on your site's blog! You have thus brought to light a security problem that depends on YOUR software, and you should fix it at least for those who use 10 and 11. Don't want to do it? Ok, but that's not correct! I understand that you have to sell the 12, but it was enough to make a decent price for the studio version, and not churn out a new version every year that introduces little new.

Lauyan

Nous ne disons pas le contraire, les sites des versions 11 et inférieures de TOWeb sont et restent sécurisés mais avec une vulnérabilité aux risques faibles.

David

Lauyan
Ok so you won't fix the problem unless one buys the new 12.
I don't know if it was a marketing gimmick to alert the customer like this, but in fact you are now forced to either spend for the new version, or to completely change the software to have the right security.
I hope you did your calculations well...

jacmgt

Jamais eu de problême de sécurité? La prochaine fois j'inviterai les uns et les autres à venir m'aider pour tout réinstaller: 2 fois en 15 jours en Mars 2024, ça fait beaucoup. Je tiens à disposition les 2 bébêtes logées dans le dossier index, différentes à chaque fois. Merci une fois de plus à Frangin62 qui a débusqué les deux intrus.
On s'est beaucoup creusé la tête pour savoir comment on pouvait s'introduire sur le serveur de OVH sans y être invités. Maintenant on sait ...
Pour info, IONOS a durci les conditions liées aux formulaires pour éviter ce couac. On se demandait là aussi pourquoi. Maintenant on sait ...

Quant au cas de Lauyan, c'est ce qui arrive quand on n'est pas à l'écoute de ses clients. Et devoir payer une version dont on n'a pas besoin pour régler un vieux problème de sécurité entièrement lié à un bug de l'éditeur, ça donne à réfléchir pour la suite de l'aventure (Pas facile de dire à mes clients de sortir le carnet de chèque pour corriger un bug sévère de leur logiciel).