[ecrire ↪ fix_security_4866_44] 14 commits

spip/ecrire | 14 commits

Par Maïeul Rouquette, le 8 février 2026 à 16h24min :

fix: colorer le background du <code> indiquant l’url de l’iframe échappée

(cherry picked from commit c600e3b2795d4fc8d1d24255c9f789b9eb2047de)

Modifié
inc/texte_mini.php

Détails : fix: colorer le background du `<code>` indiquant l'url de l'iframe échappée (784001ca) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 8 février 2026 à 16h24min :

docs: peut être remplacer une constante par pipeline

(cherry picked from commit 527f46af41776e29eebfea6e757e10d7772a4d1b)

Modifié
inc/texte_mini.php

Détails : docs: peut être remplacer une constante par pipeline (61312dcd) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 8 février 2026 à 16h24min :

remove: ne pas considérer que youtube est par principe safe

(cherry picked from commit 48888dfd34fda4c23d6722358cbdba83efed7b25)

Modifié
inc/texte_mini.php

Détails : remove: ne pas considérer que youtube est par principe safe (09b09658) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 février 2026 à 16h24min :

fix: Typages des nouveaux paramètres et fonctions

Refs: !163
(cherry picked from commit 52b99b66fafd8f221d52564877ac8ca34c31b29f)

Modifié
inc/texte_mini.php

Détails : fix: Typages des nouveaux paramètres et fonctions (db5ad5fd) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

styles: fix ecs

(cherry picked from commit f0ad8b84125e7bcc71b9d483fffa187c00d4dec0)

Modifié
inc/texte_mini.php

Détails : styles: fix ecs (efddff82) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

fix: inspecter également le contenu si on a des urls de type javascript, y compris un peu cachée

(cherry picked from commit adfd765cfca2b84147670f29fbdd5057cdde58de)

Modifié
inc/texte_mini.php

Détails : fix: inspecter également le contenu si on a des urls de type javascript, y compris un peu cachée (38d1fabd) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

fix: inspecter également le contenu si il y a un attribut formaction

(cherry picked from commit 18215bcb2c4265ba91813454f8e82222b58bd69d)

Modifié
inc/texte_mini.php

Détails : fix: inspecter également le contenu si il y a un attribut formaction (1688d0ec) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

refactor: split + spip_htmlspecialchars pour afficher_html_suspect() c’est plus propre que les bidouilles précédentes

(cherry picked from commit 22e9752d96a79ef88b7e86c62b95dfcfeb30238d)

Modifié
inc/texte_mini.php

Détails : refactor: split + spip_htmlspecialchars pour afficher_html_suspect() c'est... (b9638490) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

fix: securiser l’affichage des iframe eventuelles soit par echappement soit par sandboxing selon les cas

(cherry picked from commit 3dea6eb5949695b821669a6fce437768902591d6)

Modifié
inc/texte_mini.php

Détails : fix: securiser l'affichage des iframe eventuelles soit par echappement soit... (27026305) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

fix utiliser un stripos sur on plutot qu’un str_contains pour ne pas etre sensible a la casse

(cherry picked from commit 19c6b1246c05a458f7e795fe3d043622fcabd7f5)

Modifié
inc/texte_mini.php

Détails : fix utiliser un stripos sur on plutot qu'un str_contains pour ne pas etre sensible a la casse (55bcdaee) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

refactor: une fonction afficher_html_suspect() pour assurer le rendu du html suspect echappé avec un wrap eventuel et le signe danger devant

(cherry picked from commit fd23fdbcc4690b6948e0465061166c096f44b1b8)

Modifié
inc/texte_mini.php

Détails : refactor: une fonction afficher_html_suspect() pour assurer le rendu du html... (f41ae3b4) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 16h24min :

feat: la fonction safehtml() accepte un tableau d’options en second argument, vide par defaut, que l’on passe a inc_safehml_dist() (ou fonction surchargee)

(cherry picked from commit a95300f1d65e3dfb129720b0822d49cff85b6313)

Modifié
inc/texte_mini.php

Détails : feat: la fonction safehtml() accepte un tableau d'options en second argument,... (ba604b24) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 février 2026 à 14h12min :

fix: Conserver xml_parser_free en php 7.4

Suite de 28d5cebf5

Refs: !149

Modifié
xml/sax.php

Détails : fix: Conserver xml_parser_free en php 7.4 (f5ddc6d4) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 février 2026 à 11h44min :

fix: Deprecated en PHP 8.5+ de imagedestroy

Le code est totalement différent de celui de SPIP 5 (qui est refactoré sur ces fonctions d’images)

Refs: !164

Modifié
action/tester.php
inc/filtres_images_lib_mini.php

Détails : fix: Deprecated en PHP 8.5+ de imagedestroy (2f949b9c) · Validations · spip / ecrire · GitLab