benoar a écrit 4270 commentaires

La faille a été ajoutée par un commit de l’an dernier ajoutant une feature « tabpanel » https://github.com/vim/vim/commit/be5bd4d6292fddcc103091407792730aaa48cc48
La PR : https://github.com/vim/vim/pull/17263
Perso je trouve ce commit plutôt moche, mais je n’ai pas d’habitude de lire les sources de vim. D’autres dans la PR disent que ça n’a pas l’air d’avoir été suffisamment retravaillé avant inclusion.
Je serai méchant je dirai que vu l’étendue et la taille du patch (ça touche au nombre de colonnes en largeurs, qu’on retrouve partout dans le code avec une variables Columns, maintenant remplacée par une macro moche COLUMNS_WITHOUT_TPL(), qui est une soustraction, alors que les calculs sont explicites partout ailleurs), ça serait l’idéal pour y planquer une faille.

Enfin, je pense surtout que ça a été fait assisté d’un LLM (hypothèse gratuite) parce que c’est moche, et que c’est ironique qu’on utilise des LLM pour dénicher des failles introduites par des LLM…

Moi je note que ça n’est pas une première dans la merdification du SIV : il y a une paire d’années (10 ans peut-être ?) le SIV avait été le laboratoire de revente de données persos à tout vent : dès que tu utilisais ce services, tes données étaient revendues et tu recevais du SPAM téléphone et e-mail à gogo. Je n’ai plus de référence exacte, mais j’ai souvenir que c’était une calamité.

Le problème c’est que la BANO contient un enregistrement par logement, pas un seul par ville. D’où ma volonté de d’abord grouper par commune, puis par code postal pour avoir le compte de commune par code postal. Peut-être avec un COUNT(DISTINCT commune) ? J’ai effacé la base, mais je viens d’essayer sur un exemple minimal, ça semble faire ce que je veux. Donc :

SELECT COUNT(DISTINCT commune) AS nombre, code_post
FROM bano
GROUP BY code_post
ORDER BY nombre

(je ne vois vraiment pas l’intérêt du HAVING)

Merci pour l’info, c’est assez éloquent.

L’illustration la plus éloquente est fournie par la fraude dite des « garages fictifs », qui a permis l’immatriculation frauduleuse, selon une estimation qui n’est que partielle, de près d’un million de véhicules, et généré un manque à gagner de plus 550 millions d’euros pour l’État et les collectivités locales sur la seule période 2022-2024.

Même si ça ne concerne pas ce que j’ai rencontré, qui parle du fonctionnement du site lui-même, et non de l’accès donné au tiers privés sans vérification.

Merci pour cette jolie histoire :-) Je suis revenu quelques temps après voir l’état de ma demande, et ils ont bien pris en compte le paiement au final. Donc à priori « ça roule », après des heures de combat.

N’empêche que le bug des dix communes que j’évoque ci-dessus est bien présent, il doit y avoir un paquet de gens (de la campagne, puisque petites communes, dont on se fout) qui ne peuvent pas enregistrer leur véhicule dans la bonne commune à cause de ça… mais c’est un « service de l’État ».

Merci pour le lien. La personne qui s’était plaint racontait bien que la boîte n’affichait que 5 communes, et elle ne devait pas se trouver dans les 5 premières. Notez qu’ils ont donc « corrigé » en en affichant maintenant 10. Mais je viens de vérifier avec le site code-postal.com (qui doit bien utiliser la base BANO citée par alkino), il y a 18 communes sous mon code postal, et la mienne n’apparaît pas dans les dix premières…

Comme j’aime bien l’approche scientifique, j’ai téléchargé la base BANO d’aujourd’hui pour voir en SQL combien pouvaient se cacher de communes sous un code postal (hint : je ne sais pas s’il existe une syntaxe sans sous-requête pour faire le GROUP BY en deux temps) :

SELECT COUNT() AS nombre, code_post FROM (SELECT code_post FROM bano GROUP BY code_post, nom_comm) GROUP BY code_post ORDER BY nombre;

Ce qui nous donne… 47 communes pour le 51300 !

Mais s’il-vous-plaît, si un stagiaire de l’ANTS passe par ici, ne vous limitez pas à 47 (ou même 50 « avec un peu de marge, comme ça ça passe ! »), affichez toutes les communes derrière un code postal, merci !

(et pour mon code postal, je trouve 17 communes contre 18 pour la page citée précédemment car une d’entre elles semble avoir disparu)

Bon, le status n’est pas bon, ils sont toujours en attente de paiement, alors que le 3DS s’est bien passé et le payfip m’a bien validé la transaction. Heureusement que j’ai gardé une copie du ticket de paiement…
C’est n’importe quoi.

Bon, un coup de F12 pour ajouter une nouvelle option dans le select, et ça passe. Notez que c’est pareil pour les impôts (qui est quand même vachement meilleur pourtant), je suis obligé de jouer du debug.
Après paiement validé, je retourne sur le site :

Whitelabel Error Page
This application has no explicit mapping for /error, so you are seeing this as a fallback.

Ce site est une blague.

C’est le site de l’ANTS…

Je suis pas couché…
https://www.plus.transformation.gouv.fr/experiences/5533659_commune-manquante

Lorsque je saisis le code postal de ma commune "37460" dans mes informations personnelles sur l'ANTS, seules cinq communes apparaissent dans le menu déroulant, mais ma commune "Céré-la-Ronde" n'apparaît pas.
Réponse :
Sachez que nous avons déjà pris contact avec La Poste pour leur signaler ce besoin urgent de mise à jour.
Ça a été « corrigé » : maintenant ils proposent 10 réponses et… ma commune n’est toujours pas dans la liste proposée.
Vous pouvez tout à fait saisir manuellement le nom correct de la commune lors de la mise à jour de votre adresse sur le certificat d'immatriculation.
Je pouvais il y a une heure, avec une entrée manuelle. Elle a disparu maintenant…

Toujours pas terminé :

Un onglet de l'application est déjà ouvert sur votre navigateur

Veuillez terminer la démarche précédente ou fermer l'onglet.

Ah, toujours la solution magique que Google apporte… en fait, j’imagine qu’à cette heure-ci tout le monde a abandonné, et d’un coup le site est plus réactif. Là je galère que pour paiement maintenant, mais c’est une autre histoire. Merci pour la suggestion quand même.

Je dois être au moins à la cinquième authentification France Connect, une trentaine d’essai au bas mot du formulaire, divers chemin de retour en arrière, de ré-essai, etc. Comment est-ce acceptable ?
Ah et j’avais oublié, de A à Z on a une fake barre de progression pour piéger le naïf en pensant que ça charge qqch.

J’avais préparé à boire sachant la soirée longue, mais là… je reviens toujours au début, pas moyen de dépasser la seconde page. Je n’ai jamais vu, de ma vie, un service aussi pourri.

Quelques détails techniques encore : l’entierté du JSON (équivalent de plusieurs pages) d’état du formulaire est transmise à chaque fois. Donc dans l’absolu, rien n’empêcherait de tout faire client-side, j’imagine…

J’ai réussi à atteindre la seconde page, où je retrouve le même bug de la dernière fois où il ne reconnaît pas ma ville à partir du code postal, alors que je n’ai jamais eu de problèmes ailleurs, elle est dans la base idoine.

Après je refais le même formulaire, mais sans texte vu que la requête pour les messages a échoué. Ça tombe bien, vu le nombre de fois où je l’ai déjà fait, je le connais par cœur…

Nouveau message d’erreur non modal, mais sur une page. J’accepte de « recommencer », et il fait 10 requêtes pour le même fichier, un JSON de contenu des messages.

(aucun code d’erreur dans les requêtes pour une fois, hein, c’était jute un message gratuit)

Nouveau popup « Un problème technique est survenu. Veuillez renouveler votre demande ultérieurement. Veuillez nous excuser pour la gêne occasionnée. » Tu crois que je ne l’avais pas remarqué ?!

Et j’aime bien comment d’un côté, ils essayent de charger toute l’appli entière au début (façon PWA) qui donne l’impression qu’ils vont vers du client-side maximum, mais qu’en fait chaque entrée dans un champs effectue une requête (au serveur surchargé) pour la valider…

Et bien sûr, au cas où le cache marcherait trop bien, ils utilisent une technique de modification des query string pour bypasser le cache. Je sais jusqu’où ça va aller dans la médiocrité, je continue (parce que je n’ai pas le choix).

Et quand on clique pour revenir à l’accueil, un popup vient vous demander (après 1 minute de chargement…) si vous voulez vraiment quitter la page ou continuer, et bien sûr continuer ne change rien à l’impossibilité de validation. Bonheur.

J’ai pu enfin charger la page une fois, et d’une, c’est le genre de page qui modifie vos entrées une fois la page finie de charger alors que vous avez commencé à remplir le bouzin (très agaçant) et qui en plus n’affiche les boutons de validation qu’un fois les requêtes dynamiques réussies ce qui n’arrive… jamais, donc vous avez un formulaire sans validation. L’incompétence à son summum.

Et à l’inverse, je note que l’OIDC de France Connect marche bien sans javascript ! C’est assez exceptionnel aujourd’hui pour être signalé (longtemps, les banques sont restées les championnes du fonctionnement sans javascript, malheureusement depuis quelques années ça n’est plus que rarement le cas)