[Dolibarr-user] proposition patch sécurité / cookie non sécure

[Gael Canal]

Bonjour,

En voulant installer une seconde instance de dolibarr sur un serveur
(avec une base de données différente), j'ai eu la surprise de découvrir
qu'un utilisateur authentifié sur l'une des instance pouvait accéder à
l'autre !

Après étude du code, j'ai isolé le problème, qui provient du nom de la
session (par défaut PHPSESSID) qui est partagé entre les deux instance.

Je me permet donc de vous proposer ce patch très simple qui alloue un
nom (celui de la bdd) à la session php, ce qui résoud ce problème..

(le choix du nom de la bdd n'est pas optimum en terme de sécurité, mais
le principe est là).

++
Gael

--- orig/main.inc.php       2005-03-01 22:45:13.000000000 +0100
+++ patched/main.inc.php   2005-07-06 00:22:54.341801472 +0200
@@ -69,6 +69,7 @@
                      );

       $aDol = new DOLIAuth("DB", $params, "loginfunction");
+      $aDol->setSessionName($dolibarr_main_db_name);
       $aDol->start();
       $result = $aDol->getAuth();
       if ($result)