@plg : Ton message est passé pendant que je réfléchissait et pondait ma réponse.
Je vais tester srand, qui passe dans l'ordre inverse : openssl, mcrypt, /dev/urandom

plg a écrit:

Bon alors, j'ai pas trop envie de toucher à random_compat (la lib que j'ai sélectionné pour générer de l'aléatoire) parce qu'il y a plus ou moins une raison pour chaque test/condition...

Ce que j'ai codé, c'est un fallback sur une autre lib, normalement moins contraignante (mais également moins "aléatoire").

Pour tester, il faut télécharger srand.php sur [Github] Secure-random-bytes-in-PHP file srand.php (clic droit "save as" sur le bouton "raw" en haut à droite). Copier le fichier srand.php dans le répertoire "include" de Piwigo.

Puis dans le fichier include/functions_session.inc.php, remplacer la fonction generate_key (ligne 63), par :

Code:

function generate_key($size)
{
  include_once(PHPWG_ROOT_PATH.'include/random_compat/random.php');

  try
  {
    $bytes = random_bytes($size+10);
  }
  catch (Exception $ex)
  {
    include_once(PHPWG_ROOT_PATH.'include/srand.php');
    $bytes = secure_random_bytes($size+10);
  }

  return substr(
    str_replace(
      array('+', '/'),
      '',
      base64_encode($bytes)
      ),
    0,
    $size
    );
}

Merci pour cet patch ! Sur le sites hébergés par le Centre de Calcul du CNRS/IN2P3 j'avais le même souci et ton patch fonctionne !