Répertoire images widget et sécurité

Salon des Développeurs Aide Programmation
1

Hello à tous,

Me voici de retour avec une nouvelle question sécurité, décidément :slight_smile:

Mon plugin myBMW possède de base des images / icônes destinées à mon widget qui sont posées dans le répertoire /core/img.
Lorsqu’un utilisateur ajoute un nouvel équipement / véhicule, je vais récupérer une image de celui-ci sur les serveurs BMW et l’enregistre dans le répertoire /data. Puisque non native dans mon plugin. Et susceptible de changer (très rarement).

J’ai un retour d’un utilisateur pour qui cette dernière image apparait qq secondes puis disparait.
Dans le log http_error, on retrouve la ligne suivante :

[Sun Jul 31 14:35:13.207867 2022] [access_compat:error] [pid 22643] [client 192.168.1.220:57167] AH01797: client denied by server configuration: /var/www/html/plugins/myBMW/data/31, referer: http://192.168.1.44/index.php?v=d&p=dashboard

En regardant sur le community, j’ai vu qu’il s’agissait du fail2ban qui bloque l’accès. Même pour des requêtes internes ?
Je n’arrive pas à reproduire chez moi. Et lui me dit ne pas avoir touché à quoi que ce soit sur son image Jeedom.
Du côté des icônes présentes dans /core/img, aucun souci.

Dois-je donc en déduire qu’il vaut mieux enregistrer la photo du véhicule dans ce dernier répertoire ?
Merci d’avance pour vos retours avisés :stuck_out_tongue:

Xav

2

Hello Xav,

Sur le plugin Mercedes je DL aussi l’image et je la met dans data/images et j’ai pas de soucis

Je vois aussi dans le log que tu n’as pas d’extension sur le fichier. Ça vient peut être de là. Le htaccess match pas

2 « J'aime »
3

Merci Marc pour ton aide.
En fait l’image est sous la forme « VIN ».png
Ici le 31 ne correspond à rien dans le répertoire de l’utilisateur !

4

Essayez de les mettre dans un sous répertoire de data.
La règle est:

RedirectMatch 403 (?i)^.*\/data\/.*\/((?!\.m3u8|\.ts|\.jpg|\.jpeg|\.gif|\.webp|\.png|\.mp3|\.aac).)*$

\/.*\/ après data est un sous-répertoire.

Le plugin meteofrance met ses icônes svg téléchargées dans son data/icones

Ma demande d’ajout des svg dans la règle:
https://community.jeedom.com/t/securite-changement-de-politique-sur-lacces-aux-fichiers/68444/59?u=jpty

1 « J'aime »
5

Salut,

Le répertoire /data est-il existant sur ton repo avec juste un fichier .htaccess dedans dans cette idée ?

1 « J'aime »
6

Hello,

Alors oui le répertoire existe bien dans mon repo mais sans le fichier .htaccess
Je le rajoute et je vous tiens au courant :wink:

Merci à tous

7

Pas de .htaccess dans data/icones du plugin meteofrance et ça fonctionne avec la règle générale citée dans mon post juste au dessus.