DoliSCAN 2.2.22 : correctifs de sécurité

Sécurité

Un salarié supprimé pouvait emporter le compte DoliSCAN d'un collègue dans la suppression. Le module retrouvait le compte à partir du mauvais identifiant, et la suppression portait aussi sur le serveur DoliSCAN.

Les autres points traités dans cette version :

• le téléchargement d'un justificatif reste dans le dossier de la note de frais qui le réclame ;
• le jeton d'accès principal est stocké chiffré et n'est plus jamais affiché ;
• les pages de diagnostic, de rattrapage et de correspondance entre sociétés sont réservées au super administrateur ;
• toute action qui joint le serveur DoliSCAN, crée ou supprime un compte distant demande une confirmation, ce qui empêche de la déclencher depuis un autre site ;
• les valeurs saisies dans l'application mobile sont échappées avant affichage, et un libellé de justificatif ne peut plus devenir une formule quand la liste est ouverte dans un tableur ;
• la suppression d'un compte dépend du droit de suppression, et non plus du droit d'écriture ;
• le module refuse de joindre le serveur en HTTP non chiffré, et signale toute baisse du niveau de sécurité du transport.

Les jetons ne sont plus écrits dans le journal

Le jeton d'accès au serveur DoliSCAN est stocké chiffré en base depuis la version précédente. Il restait pourtant lisible ailleurs : à la connexion du module, la réponse du serveur était recopiée telle quelle dans le journal de Dolibarr, jeton compris, de même que les codes de sécurité reçus par courriel. Qui pouvait lire dolibarr.log pouvait donc se faire passer pour le compte.

Ces valeurs sont désormais masquées avant écriture, en ne laissant que les quatre derniers caractères, de quoi reconnaître quel jeton est en service sans pouvoir s'en servir.

Si vos journaux sont conservés ou archivés, le remède est à compléter de votre côté : le correctif empêche les écritures futures, il ne réécrit pas ce qui est déjà sur le disque. Vérifiez qui a accès à ces fichiers et, si un jeton y figure, renouvelez-le depuis la page de configuration du module.

Mise à jour de sécurité, recommandée à toutes les installations.

À faire après la mise à jour

1. Lancez le rattrapage de TVA si vous gérez du carburant. Depuis la page de diagnostics du module, la section des lignes dont le HT et la TVA sont inversés affiche ce qui est concerné, avec les deux ventilations côte à côte, et le bouton de correction. S'il n'y a rien à corriger, la section le dit.

2. Vérifiez les droits si vous venez d'une version antérieure à la 2.2.20. Dolibarr n'écrit les permissions d'un module qu'à son activation : si vous ne l'avez pas encore fait, désactivez puis réactivez DoliSCAN depuis Accueil > Configuration > Modules/Applications, puis accordez aux salariés concernés le droit de valider leurs notes de frais DoliSCAN dans Utilisateurs et groupes, onglet Permissions, section DoliSCAN. La page de diagnostics détecte ce cas et propose de réinstaller les permissions.

Au quotidien

• l'interface est traduite : anglais, espagnol, allemand et italien. Plus de deux cents phrases s'affichaient en français quelle que soit la langue choisie, et l'allemand comme l'italien n'existaient pas du tout ;
• la synchronisation nocturne ne s'arrête plus sur une note de frais dont la date est inexploitable : elle la saute, la signale, et traite les suivantes ;
• les échecs sont remontés au lieu de passer sous silence, qu'il s'agisse d'un enregistrement, d'un paiement ou d'un import ;
• la synchronisation est plus rapide : le module n'attend plus entre deux appels que si le serveur le lui demande, et deux index ont été ajoutés pour les bases qui comptent beaucoup de notes de frais ;
• l'onglet des informations d'un compte DoliSCAN s'ouvre enfin, il demandait à la base des colonnes qui n'existaient pas ;
• la liste des notes de frais affiche sa ligne de total.

Multi-société

Ce point ne concerne que les installations équipées du module Multi-société.

Le cloisonnement par entité a été complété : la liste des notes de frais, la resynchronisation générale, le repère de dernière synchronisation, les logins transmis avec les projets et la recherche d'une facture fournisseur liée restent tous dans la société courante.

Quatre chemins moins visibles ont été repris dans la foulée :

• la liste des comptes DoliSCAN d'un salarié actif dans deux sociétés n'affiche plus que celui de la société consultée. Les autres y apparaissaient avec leur identifiant de connexion et leurs dates de synchronisation ;
• la resynchronisation d'une note de frais vérifie à qui appartient la note de frais Dolibarr qui lui est rattachée. Un rattachement devenu incohérent conduisait à déposer les justificatifs d'un salarié dans la note de frais d'un collègue, ou d'une autre société ;
• la recherche d'une note déjà traitée tient compte du salarié et de la société, au lieu de ne s'appuyer que sur l'identifiant renvoyé par le serveur. Cet identifiant n'est unique que pour un serveur DoliSCAN donné : le module autorisant un serveur par société, deux sociétés pouvaient se renvoyer le même et la note de l'une était prise pour celle de l'autre ;
• une note ou un compte dont la société est inconnue n'est plus traité comme appartenant à la société consultée. Le refus ne s'applique que si le module Multi-société est actif : sur une installation à société unique, il n'y a pas d'autre société vers laquelle une donnée pourrait filer, et les lignes anciennes restent accessibles normalement.

Compatibilité

DoliSCAN 2.2.22 demande Dolibarr 18 ou supérieur et PHP 7.4 ou supérieur. L'analyse statique du module est vérifiée sur Dolibarr 18 à 23.

La documentation utilisateur est à l'adresse doc.cap-rel.fr/doliscan-dolibarr.