[ecrire ↪ fix_security_4866_44] 20 commits

spip/ecrire | 20 commits

Par Maïeul Rouquette, le 8 février 2026 à 14h05min :

fix: colorer le background du <code> indiquant l’url de l’iframe échappée

(cherry picked from commit c600e3b2795d4fc8d1d24255c9f789b9eb2047de)

Modifié
inc/texte_mini.php

Détails : fix: colorer le background du `<code>` indiquant l'url de l'iframe échappée (d5a85262) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 8 février 2026 à 14h05min :

docs: peut être remplacer une constante par pipeline

(cherry picked from commit 527f46af41776e29eebfea6e757e10d7772a4d1b)

Modifié
inc/texte_mini.php

Détails : docs: peut être remplacer une constante par pipeline (410a6099) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 8 février 2026 à 14h05min :

remove: ne pas considérer que youtube est par principe safe

(cherry picked from commit 48888dfd34fda4c23d6722358cbdba83efed7b25)

Modifié
inc/texte_mini.php

Détails : remove: ne pas considérer que youtube est par principe safe (822349a4) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 février 2026 à 14h05min :

fix: Typages des nouveaux paramètres et fonctions

Refs: !163
(cherry picked from commit 52b99b66fafd8f221d52564877ac8ca34c31b29f)

Modifié
inc/texte_mini.php

Détails : fix: Typages des nouveaux paramètres et fonctions (60c1c476) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h03min :

styles: fix ecs

(cherry picked from commit f0ad8b84125e7bcc71b9d483fffa187c00d4dec0)

Modifié
inc/texte_mini.php

Détails : styles: fix ecs (fd00adfb) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h03min :

fix: inspecter également le contenu si on a des urls de type javascript, y compris un peu cachée

(cherry picked from commit adfd765cfca2b84147670f29fbdd5057cdde58de)

Modifié
inc/texte_mini.php

Détails : fix: inspecter également le contenu si on a des urls de type javascript, y compris un peu cachée (43324a55) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h03min :

fix: inspecter également le contenu si il y a un attribut formaction

(cherry picked from commit 18215bcb2c4265ba91813454f8e82222b58bd69d)

Modifié
inc/texte_mini.php

Détails : fix: inspecter également le contenu si il y a un attribut formaction (3bd10d89) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h03min :

refactor: split + spip_htmlspecialchars pour afficher_html_suspect() c’est plus propre que les bidouilles précédentes

(cherry picked from commit 22e9752d96a79ef88b7e86c62b95dfcfeb30238d)

Modifié
inc/texte_mini.php

Détails : refactor: split + spip_htmlspecialchars pour afficher_html_suspect() c'est... (5edf5dda) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h02min :

fix: securiser l’affichage des iframe eventuelles soit par echappement soit par sandboxing selon les cas

(cherry picked from commit 3dea6eb5949695b821669a6fce437768902591d6)

Modifié
inc/texte_mini.php

Détails : fix: securiser l'affichage des iframe eventuelles soit par echappement soit... (6624f9a3) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h02min :

fix utiliser un stripos sur on plutot qu’un str_contains pour ne pas etre sensible a la casse

(cherry picked from commit 19c6b1246c05a458f7e795fe3d043622fcabd7f5)

Modifié
inc/texte_mini.php

Détails : fix utiliser un stripos sur on plutot qu'un str_contains pour ne pas etre sensible a la casse (14f9203c) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h01min :

refactor: une fonction afficher_html_suspect() pour assurer le rendu du html suspect echappé avec un wrap eventuel et le signe danger devant

(cherry picked from commit fd23fdbcc4690b6948e0465061166c096f44b1b8)

Modifié
inc/texte_mini.php

Détails : refactor: une fonction afficher_html_suspect() pour assurer le rendu du html... (322a16ad) · Validations · spip / ecrire · GitLab

==============================
Par Cerdic, le 8 février 2026 à 14h00min :

feat: la fonction safehtml() accepte un tableau d’options en second argument, vide par defaut, que l’on passe a inc_safehml_dist() (ou fonction surchargee)

(cherry picked from commit a95300f1d65e3dfb129720b0822d49cff85b6313)

Modifié
inc/texte_mini.php

Détails : feat: la fonction safehtml() accepte un tableau d'options en second argument,... (12f0064e) · Validations · spip / ecrire · GitLab

==============================
Par Florent Triquet, le 4 février 2026 à 13h50min :

fix(auth_http): Assigner l’auteur à la session uniquement si on a pu le récupérer par l’authent HTTP

On ne tente plus l’authent si le mot de passe est vide.

Refs: #109
(cherry picked from commit e61a6cf658337de24a095bbaa0d43ce41c88e4db)

Modifié
inc/utils.php

Détails : fix(auth_http): Assigner l'auteur à la session uniquement si on a pu le... (27683797) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 8 janvier 2026 à 11h28min :

fix: Deprectated (PHP 8.5 null as array offset) dans f_afficher_blocs_ecrire()

Report-manuel

Ref: 369d8fd2

Co-authored-by: Matthieu Marcillaud marcimat@rezo.net

Modifié
inc/pipelines_ecrire.php

Détails : fix: Deprectated (PHP 8.5 null as array offset) dans `f_afficher_blocs_ecrire()` (d5a81c05) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul Rouquette, le 19 décembre 2025 à 19h56min :

Revert « fix: ne pas ajouter de lien pour confirmer l’inscription sur les »

This reverts commit a34a7869b4f08ce1a14dc60218d48dc2c321c337.

On se contente de supprimer le liens dans le modèle, mais pas l’action
en elle même, ni les paramètres passés au modèles.

Ref: fix: ne pas ajouter de lien pour confirmer l'inscription sur les (48646868) · Validations · spip / prive · GitLab

Ref: #105

Ajouté
action/confirmer_inscription.php
Modifié
action/inscrire_auteur.php
lang/spip_fr.php

Détails : Revert "fix: ne pas ajouter de lien pour confirmer l'inscription sur les" (6c85dc55) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 décembre 2025 à 14h18min :

fix: Deprectated in PHP 8.5

(cherry picked from commit 8dbab1bf1dea622b9eb22f7d8b01c3134bc01018)

Modifié
xml/sax.php

Détails : fix: Deprectated in PHP 8.5 (28d5cebf) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 8 décembre 2025 à 14h18min :

fix: Deprectated in PHP 8.5

(cherry picked from commit 66f43ab64e2dc1e58dff93132388e5acc87f00c6)

Modifié
public/references.php

Détails : fix: Deprectated in PHP 8.5 (ee99aa46) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 5 décembre 2025 à 10h07min :

build: Version 4.4.7

Modifié
CHANGELOG.md
inc_version.php
paquet.xml

Détails : build: Version 4.4.7 (6807615c) · Validations · spip / ecrire · GitLab

==============================
Par Matthieu Marcillaud, le 1er décembre 2025 à 15h26min :

fix: Deprecated usage of _T in debusquer_compose_message()

(cherry picked from commit a7a4f121f91bcbc834160a627599ffb758b509ff)

Modifié
public/debusquer.php

Détails : fix: Deprecated usage of `_T` in `debusquer_compose_message()` (38e2d594) · Validations · spip / ecrire · GitLab

==============================
Par Maïeul, le 1er décembre 2025 à 10h43min :

fix: Vider la meta ‹ drapeau_edition › quand on désinstalle un plugin

Modifié
inc/drapeau_edition.php
inc/pipelines_ecrire.php
paquet.xml
plugins/installer.php

Détails : fix: Vider la meta 'drapeau_edition' quand on désinstalle un plugin (f6563879) · Validations · spip / ecrire · GitLab