Mises à jour de yAronet - Page 6

Je propose de supprimer la balise flash:
1. Flash n'est pas disponible partout (iPhone par exemple, ou GNU/Linux sur autre chose que x86 ou ARM).
2. Même là où c'est disponible, ce n'est pas forcément installé. ()
3. YouTube a maintenant une balise dédiée.
4. Permettre du flash arbitraire est un trou de sécurité, ça revient à permettre le JavaScript arbitraire dans les posts! Par exemple, Flash permet de rediriger vers une URL arbitraire.

Steve Jobs, sors de ce corps!

1 - JavaScript non plus, c'est pas pour ça qu'on va supprimer tout le code JavaScript de yAronet. Tu veux aussi qu'on supprime la balise [img] sous prétexte que les utilisateurs de Lynx ne la voient pas ?
2 - cf. 1
3 - Cette balise existe principalement pour profiter du fait que YouTube peut afficher certaines vidéos en mode "HTML5" ; sans ce cas particulier, les vidéos YouTube utiliseraient la balise [flash]
4 - Bon argument ; pour le résoudre, il suffira de modifier le comportement de la balise [flash] pour qu'elle s'affiche dans une iframe. Je note cette proposition

Merci pour la correction des liens dans la skin sombre. Content aussi de voir que je suis pas le seul à l'utiliser

(t'as les stats des skins qui sont fournies ici)

Zeph (./154) :
1 - JavaScript non plus, c'est pas pour ça qu'on va supprimer tout le code JavaScript de yAronet.

Mais le JavaScript arbitraire n'est pas permis dans les posts non plus!

3 - Cette balise existe principalement pour profiter du fait que YouTube peut afficher certaines vidéos en mode "HTML5" ; sans ce cas particulier, les vidéos YouTube utiliseraient la balise [flash]

Et c'est bien pour ça que la balise YouTube est une solution bien meilleure.

4 - Bon argument ; pour le résoudre, il suffira de modifier le comportement de la balise [flash] pour qu'elle s'affiche dans une iframe. Je note cette proposition

Ça ne résoud rien du tout, l'iframe peut ensuite par JavaScript activer un lien avec target="_top" (au moins avec certains navigateurs). Un iframe n'a jamais été une sandbox.

Le seul moyen de corriger cette énorme faille de sécurité est de supprimer la balise flash.

Tiens, je ne sais pas si c'est dû à des changements, mais depuis tout à l'heure, le suivi des sujets me renvoie systématiquement au dernier message lu d'une discussion au lieu de me renvoyer au premier non-lu.

Edit : ah, c'est peut-être le fonctionnement du recomptage quotidien des posts qui a lieu la nuit ? Mais c'est bizarre, ça me le fait partout (ou alors j'ai mal vu et ça ne me le fait que dans le sujet sur Starcraft...) et pas que dans un seul topic

Il n'y a pas que Youtube dans la vie…

Pareil pour moi. Le permier message non-lu qui m'est signalé est en fait le dernier lu (donc de ma visite précédente)

Idem.

Kevin Kofler (./157) :
Ça ne résoud rien du tout, l'iframe peut ensuite par JavaScript activer un lien avec target="_top" (au moins avec certains navigateurs). Un iframe n'a jamais été une sandbox.

Avec certains navigateurs buggés alors, parce qu'une iframe n'est pas supposée avoir le moindre contrôle sur son parent, sauf si les domaines sont communs.

À l’instant, je viens de voir, sur le topic de SC2, un message fantôme : ça indiquait qu’Hippo avait posté, mais on ne voyait rien dans le topic. Après avoir posté, tout est rentré dans l’ordre.

Je viens de forcer le recalcul des réponses par topic (qui part en cacahuète de temps à autres, encore un bug à corriger), vous avez encore le problème ?

J'avais déjà eu le bug ailleurs il y a quelques jours.

C’est bon, apparemment.

flanker (./159) :
Il n'y a pas que Youtube dans la vie…

Pour le reste, bah, il y a d'autres solutions, genre la balise url. Mais permettre d'insérer du flash arbitraire directement dans les posts est vraiment une très mauvaise idée.

c'est bien pratique

C'est quoi ton probleme avec Flash Kevin?

Ca serait exactement la meme chose, mais ça serait un projet libre, je suis sur que tu ne serait pas aussi vindicatif

Avec certains navigateurs buggés alors, parce qu'une iframe n'est pas supposée avoir le moindre contrôle sur son parent, sauf si les domaines sont communs.

tout est relatif, par exemple ce bout de code change l'url de la page vers celle de l'iframe

if(top.location != self.document.location) top.location=self.document.location;

concernant flash, il faudrait rajouter des balises audio, video, pdf, ... ca simplifierais la vie de tout le monde

la balise flash en elle même devrait être limité à une liste blanche ou désactivé pour les nouveaux inscrits, et laisser sa pleine utilisation si le posteur à par exemple + de 42 posts

(l'autorisation au bout de N posts n'est pas spécifique à la balise flash, ça s'appliquerait bien à la balise url par exemple)

ouep, c'est un principe qui pourrait se décliner à pas mal d'autres choses d'ailleurs, jusqu'à un éventuel système d'auto-modération sur yN, mais ça demande un poil plus de développement

bah tu désactives le parsing pour tous ceux qui ont moins de 2 posts

Comme ça ils pourront poster un script javascript

quelle bonne idée

(pff en php on peut enlever les balises )

robinHood (./170) :
tout est relatif, par exemple ce bout de code change l'url de la page vers celle de l'iframe

if(top.location != self.document.location) top.location=self.document.location;

… ce qui en l'occurrence est exactement le problème de sécurité discuté. On peut rediriger les utilisateurs avec la balise flash et un iframe n'y change rien. Imaginez par exemple un site de phishing qui ressemble totalement à yN, avec une redirection automatique depuis un topic à l'aide de la balise flash! Ça permettrait probablement de compromettre pas mal de comptes!

Il faut désactiver entièrement la balise flash ou la transformer en simple lien, je ne vois pas d'autre solution.

Si, la garder telle quelle.

D'ailleurs je ne vois pas en quoi tu es concerné Kevin, tu n'utilises pas Flash que je sache ? Ça serait bien que tu t'occupes de tes problèmes avant d'en trouver aux autres.

je serais tenté de dire que, malgré son point de vue toujours un peu extrême des choses, il a pas complètement tord non plus...

en tout cas, sur mes navigateurs, les trucs flash ne se lancent jamais en automatique ^^
(via plugin flashblock depuis des années ; ou via la fonctionnalité native dans les versions récentes de firefox (il faut trifouiller dans about:config, il n'y a pas encore d'interface pour ça))

En pratique, je pense que supprimer flash a beaucoup plus de chance d'embêter du monde que de protéger de possibles attaques.