Erreurs d'accès refusé après l'installation de SUPEE-6285

Après avoir installé le correctif SUPEE-6285 sur notre magasin Magento 1.7.0.2, le système affiche une erreur " Accès refusé " lors de la tentative d'accès à tous les modules personnalisés pour les utilisateurs disposant d'autorisations sélectives (pas toutes). Capture d'écran ci-dessous.

Les autorisations utilisateur sont correctement définies dans les ressources de rôle et nous avons réappliqué les paramètres d'autorisation afin de nous assurer qu'ils sont définis.

Le problème a été reproduit sur plusieurs extensions personnalisées. Ce n'est donc pas une extension unique qui ne fonctionne pas.

Je me suis déconnecté / connecté, j'ai vidé le cache et confirmé que le compilateur est désactivé.

Quelqu'un peut-il suggérer comment résoudre ce problème?

Comme écrit ici :

Si vous utilisez des comptes d’administrateur restreints, certains menus d’extensions tierces risquent de ne plus fonctionner pour eux. La raison en est que la valeur de retour par défaut Mage_Adminhtml_Controller_Action::_isAllowed()a été modifié par rapport trueà Mage::getSingleton('admin/session')->isAllowed('admin'). Les extensions qui ne remplacent pas cette méthode dans leurs contrôleurs d’administration parce qu’elles n’utilisent pas la liste de contrôle d’accès ont maintenant besoin du privilège "ALL" .

La seule solution consiste à patcher les extensions et à ajouter cette méthode à tous leurs contrôleurs d'administration:

protected function _isAllowed()
{
    return true;
}

Ou s’ils disposent d’une ressource ACL définie dans etc/adminhtml.xml:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('ENTER RESOURCE IDENTIFIER HERE');
}

Comment déterminer l'identifiant de la ressource

Voici à quoi adminhtml.xmlpourrait ressembler un:

Prenez les noms de nœud ci acl/resources/admin/children- dessous , en ignorant les childrennœuds suivants .

Comment créer des identifiants de ressources manquants

S'il y a seulement une <menu>définition mais pas de <acl>définition, vous pouvez aussi définir la vôtre (il n'est pas nécessaire qu'elle soit dans le même module, donc aucun fichier tiers ne doit être modifié):

Copiez tout ce qui suit menupour acl/resources/admin/childrensupprimer les <action>nœuds.

Correction automatique

Il existe un bon outil en ligne de commande de SupportDesk.nu à l' adresse https://gist.github.com/raybogman/eec47237b8ef0d4dd0fd.

Il gère _isAllowed()très bien la plupart des appels manquants, mais entraîne la rupture du code avec des fichiers source obscurcis ou cryptés. Vous devez donc vérifier les résultats manuellement.

Dans mon cas pour les modules tiers, l'ajout du code ci-dessous aux contrôleurs adminhtml a fonctionné:

protected function _isAllowed()

{
     return true;
}

CA devrait etre:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('system/config');
}

Dans ce cas, il renvoie les paramètres ACL de Magento. Je me demande simplement si Magento Core Team corrigera ce problème avec un autre correctif ou si cela devrait être fait dans app / code / local en tant que correctif global ...