[ecrire ↪ fix_security_4866] 18 commits

spip/ecrire | 18 commits

Par Maïeul Rouquette, le 8 février 2026 à 13h27min :

fix: colorer le background du <code> indiquant l’url de l’iframe échappée

Modifié
inc/texte_mini.php

Détails : fix: colorer le background du `<code>` indiquant l'url de l'iframe échappée (c600e3b2) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 8 février 2026 à 13h27min :

docs: peut être remplacer une constante par pipeline

Modifié
inc/texte_mini.php

Détails : docs: peut être remplacer une constante par pipeline (527f46af) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 8 février 2026 à 13h27min :

remove: ne pas considérer que youtube est par principe safe

Modifié
inc/texte_mini.php

Détails : remove: ne pas considérer que youtube est par principe safe (48888dfd) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 février 2026 à 13h27min :

fix: Typages des nouveaux paramètres et fonctions

Refs: !163

Modifié
inc/texte_mini.php

Détails : fix: Typages des nouveaux paramètres et fonctions (52b99b66) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

styles: fix ecs

Modifié
inc/texte_mini.php

Détails : styles: fix ecs (f0ad8b84) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

fix: inspecter également le contenu si on a des urls de type javascript, y compris un peu cachée

Modifié
inc/texte_mini.php

Détails : fix: inspecter également le contenu si on a des urls de type javascript, y compris un peu cachée (adfd765c) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

fix: inspecter également le contenu si il y a un attribut formaction

Modifié
inc/texte_mini.php

Détails : fix: inspecter également le contenu si il y a un attribut formaction (18215bcb) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

refactor: split + spip_htmlspecialchars pour afficher_html_suspect() c’est plus propre que les bidouilles précédentes

Modifié
inc/texte_mini.php

Détails : refactor: split + spip_htmlspecialchars pour afficher_html_suspect() c'est... (22e9752d) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

fix: securiser l’affichage des iframe eventuelles soit par echappement soit par sandboxing selon les cas

Modifié
inc/texte_mini.php

Détails : fix: securiser l'affichage des iframe eventuelles soit par echappement soit... (3dea6eb5) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

fix utiliser un stripos sur on plutot qu’un str_contains pour ne pas etre sensible a la casse

Modifié
inc/texte_mini.php

Détails : fix utiliser un stripos sur on plutot qu'un str_contains pour ne pas etre sensible a la casse (19c6b124) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

refactor: une fonction afficher_html_suspect() pour assurer le rendu du html suspect echappé avec un wrap eventuel et le signe danger devant

Modifié
inc/texte_mini.php

Détails : refactor: une fonction afficher_html_suspect() pour assurer le rendu du html... (fd23fdbc) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 13h27min :

feat: la fonction safehtml() accepte un tableau d’options en second argument, vide par defaut, que l’on passe a inc_safehml_dist() (ou fonction surchargee)

Modifié
inc/texte_mini.php

Détails : feat: la fonction safehtml() accepte un tableau d'options en second argument,... (a95300f1) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 février 2026 à 12h05min :

test: Tester minipipe_is_structured_value()

Modifié
tests/unit/Bootstrap/Pipeline/MinipipeTest.php

Détails : test: Tester minipipe_is_structured_value() (13a4c3d7) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 février 2026 à 12h05min :

refactor: Une fonction minipipe_is_structured_value pour mutualiser et tester plus facilement

Modifié
bootstrap/inc/pipeline.php

Détails : refactor: Une fonction `minipipe_is_structured_value` pour mutualiser et tester plus facilement (922fdd69) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 12h05min :

fix: quand une fonction pipeline corromps un pipeline args/data la denoncer dans les logs et en erreur_squelette

Modifié
bootstrap/inc/pipeline.php

Détails : fix: quand une fonction pipeline corromps un pipeline args/data la denoncer... (4c6568c2) · Validations · spip / ecrire · GitLab

==============================
Par JamesRezo, le 7 février 2026 à 17h29min :

refactor: prive as plugin

Modifié
.gitattributes
base/upgrade.php
bootstrap/config/initial.php
bootstrap/inc/utils.php
composer.json
ecs.php
inc/importmap.php
inc/layer.php
inc/pipelines_ecrire.php
inc/plugin.php
paquet.xml
phpstan.neon.dist
plugins/afficher_liste.php
plugins/afficher_nom_plugin.php
plugins/afficher_plugin.php
plugins/afficher_repertoires.php
plugins/extraire_boutons.php
plugins/extraire_pipelines.php
plugins/get_infos.php
plugins/infos_paquet.php
plugins/installer.php
plugins/verifie_conformite.php
rector.php

Détails : refactor: prive as plugin (3ac0625a) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 7 février 2026 à 17h18min :

fix: prepare_icone_base() envoyait une classe erronnée depuis le passage en SVG

Deux points :

  • dejà le commentaire, et le nom des variables, n’était pas valable,
    puisque ce filtre ne concerne pas que des objets, mais aussi des
    boutons type « voir en ligne »
  • l’ancienne version supprimait les 4 dernières charactères. Cela
    correspond typiquement au .png des anciennes icones → j’en
    déduit que le but était de trouver le nom sans l’extension

fix: spip/prive#114

Modifié
inc/filtres.php

Détails : fix: `prepare_icone_base()` envoyait une classe erronnée depuis le passage en SVG (84be9441) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 7 février 2026 à 14h03min :

fix: Deprecated en PHP 8.5+ de ImageDestroy

Modifié
inc/filtres_images_lib_mini.php

Détails : fix: Deprecated en PHP 8.5+ de ImageDestroy (6093d857) · Validations · spip / ecrire · GitLab