https://core.spip.net/issues/4173 : ne pas permettre d'acceder a des URLs...

https://core.spip.net/issues/4173 : ne pas permettre d'acceder a des URLs locales du serveur via l'upload de documents distants

inc/joindre_document.php

@@ -80,6 +80,10 @@ function joindre_trouver_fichier_envoye() {
 		if (!strlen($path) or $path == 'http://') {
 			return _T('medias:erreur_indiquez_un_fichier');
 		}
+		include_spip('inc/distant');
+		if (!valider_url_distante($path)) {
+			return _T('medias:erreur_upload_type_interdit', array('nom' => $path));
+		}
 		include_spip('action/ajouter_documents');
 		$infos = renseigner_source_distante($path);
 		if (!is_array($infos)) {

paquet.xml

 <paquet
 	prefix="medias"
 	categorie="multimedia"
-	version="2.21.13"
+	version="2.21.14"
 	etat="stable"
 	compatibilite="[3.3.0-dev;3.3.*]"
 	logo="prive/themes/spip/images/portfolio-32.png"