spip/forum | 20 commits
Par b_b, le 7 novembre 2026 à 11h26min :
fix: #URL_LOGOUT est une balise dynamique, on peut pas appliquer un filtre dessus
Fix: #4800
Modifié
formulaires/inc-login_forum.html
==============================
Par Matthieu Marcillaud, le 6 octobre 2026 à 12h00min :
build: Version 3.1.19
Modifié
CHANGELOG.md
paquet.xml
Détails : build: Version 3.1.19 (51b48b6a) · Validations · spip / forum · GitLab
==============================
Par b_b, le 6 octobre 2026 à 11h04min :
Merge branch ‹ fix_security_4915 › into ‹ 3.x ›
fix: nettoyage de la previsu et traitements des champs de la table forum
See merge request spip/forum!4827
Modifié
base/forum.php
forum_fonctions.php
phpstan-baseline.neon
Détails : Merge branch 'fix_security_4915' into '3.x' (e9b922cc) · Validations · spip / forum · GitLab
==============================
Par Matthieu Marcillaud, le 6 octobre 2026 à 11h02min :
fix: indiquer un contexte public ‹ forum › sur les traitements des champs des forum
Cela a pour conséquence d’interdire l’interprétation des modèles
Refs: Connexion · GitLab
Modifié
base/forum.php
forum_fonctions.php
phpstan-baseline.neon
==============================
Par Cerdic, le 6 octobre 2026 à 11h02min :
fix: utiliser des preg pour nettoyer les form c’est plus robuste
Retour sur 4d16b20e350cbe7cc3fdbc375656169b4c195eec qui avait adopté un CollecteurHtmlTag pour nettoyer les et de la prévisu. Les collecteurs sont adaptés pour un contenu propre, mais pas à un contenu malicieux généré par un attaquant.
On revient à des preg basiques pour remplacer sans s’occuper des imbrications. On nettoie également tous les <input…hiden> sans s’occuper de où ils sont
Refs: Connexion · GitLab
Modifié
forum_fonctions.php
phpstan-baseline.neon
==============================
Par b_b, le 6 octobre 2026 à 10h53min :
Merge branch ‹ fix_security_4943 › into ‹ 3.x ›
fix: utiliser attribut_url
See merge request spip/forum!4828
Modifié
formulaires/inc-forum_previsu.html
formulaires/inc-forum_prive_previsu.html
formulaires/inc-login_forum.html
formulaires/inc-login_forum_abo.html
forum_pipelines.php
prive/objets/liste/forums.html
prive/objets/liste/participer_forum.html
prive/objets/liste/participer_forum_thread.html
prive/squelettes/contenu/controler_forum.html
prive/transmettre/rss/forums_public.html
prive/transmettre/rss/forums_vide.html
rss_forum_article.html
rss_forum_breve.html
rss_forum_rubrique.html
rss_forum_thread.html
Détails : Merge branch 'fix_security_4943' into '3.x' (dad7df4e) · Validations · spip / forum · GitLab
==============================
Par Cerdic, le 6 octobre 2026 à 10h51min :
fix: utiliser attribut_url
Refs: Connexion · GitLab
Modifié
formulaires/inc-forum_previsu.html
formulaires/inc-forum_prive_previsu.html
formulaires/inc-login_forum.html
formulaires/inc-login_forum_abo.html
forum_pipelines.php
prive/objets/liste/forums.html
prive/objets/liste/participer_forum.html
prive/objets/liste/participer_forum_thread.html
prive/squelettes/contenu/controler_forum.html
prive/transmettre/rss/forums_public.html
prive/transmettre/rss/forums_vide.html
rss_forum_article.html
rss_forum_breve.html
rss_forum_rubrique.html
rss_forum_thread.html
Détails : fix: utiliser attribut_url (3c5f287e) · Validations · spip / forum · GitLab
==============================
Par b_b, le 6 octobre 2026 à 10h51min :
Merge branch ‹ fix_security_4942 › into ‹ 3.x ›
fix: vérifier l’URL fournie dans url_site
See merge request spip/forum!4826
Modifié
formulaires/forum.php
formulaires/forum_prive.php
inc/forum.php
phpstan-baseline.neon
Détails : Merge branch 'fix_security_4942' into '3.x' (a11312b8) · Validations · spip / forum · GitLab
==============================
Par Cerdic, le 1er octobre 2026 à 15h14min :
fix: 2 coquilles sur le calcul de la previsu (on prenait nom_site pour url_site)
Modifié
formulaires/forum.php
formulaires/forum_prive.php
==============================
Par Cerdic, le 1er octobre 2026 à 15h14min :
fix: vérifier l’URL fournie dans url_site
On filtre les protocoles et les urls acceptées (pas de port, pas de login:pass)
On verifie l’URL à l’identique sur forum et forum_prive
Fix: Connexion · GitLab
Modifié
formulaires/forum.php
formulaires/forum_prive.php
inc/forum.php
phpstan-baseline.neon
Détails : fix: vérifier l'URL fournie dans url_site (eee12390) · Validations · spip / forum · GitLab
==============================
Par Matthieu Marcillaud, le 22 septembre 2026 à 15h18min :
build: Version 3.1.18
Modifié
CHANGELOG.md
paquet.xml
Détails : build: Version 3.1.18 (6ac4ac54) · Validations · spip / forum · GitLab
==============================
Par marcimat, le 22 septembre 2026 à 14h41min :
Merge branch ‹ fix_editorconfig › into ‹ 3.x ›
chore(editorconfig): passer insert_final_newline à true
See merge request spip/forum!4825
Modifié
.editorconfig
Détails : Merge branch 'fix_editorconfig' into '3.x' (0162409f) · Validations · spip / forum · GitLab
==============================
Par b_b, le 7 septembre 2026 à 14h26min :
chore(editorconfig): passer insert_final_newline à true
Modifié
.editorconfig
==============================
Par Matthieu Marcillaud, le 2 septembre 2026 à 13h50min :
build: Version 3.1.17
Modifié
CHANGELOG.md
paquet.xml
Détails : build: Version 3.1.17 (620583b9) · Validations · spip / forum · GitLab
==============================
Par marcimat, le 2 septembre 2026 à 12h01min :
Merge branch ‹ fix_complements_forum › into ‹ 3.x ›
Sécurités complémentaires sur les forums
See merge request spip/forum!4824
Modifié
formulaires/forum.php
formulaires/forum_prive.php
forum_fonctions.php
phpstan-baseline.neon
Détails : Merge branch 'fix_complements_forum' into '3.x' (09ddffdf) · Validations · spip / forum · GitLab
==============================
Par Matthieu Marcillaud, le 2 septembre 2026 à 11h33min :
chore: up baseline
Modifié
phpstan-baseline.neon
Détails : chore: up baseline (169cfc07) · Validations · spip / forum · GitLab
==============================
Par Cerdic, le 2 septembre 2026 à 11h32min :
fix: nettoyage plus efficace des sur le contenu de la prévisu
Modifié
formulaires/forum.php
formulaires/forum_prive.php
forum_fonctions.php
==============================
Par Cerdic, le 2 septembre 2026 à 11h12min :
fix: longueur maxi par défaut des messages de forum
Si la constante _FORUM_LONGUEUR_MAXI n’était pas définie, on fixe à 8ko la longueur maxi des messages de forum public et prive
Modifié
formulaires/forum.php
formulaires/forum_prive.php
Détails : fix: longueur maxi par défaut des messages de forum (4ec75357) · Validations · spip / forum · GitLab
==============================
Par cerdic, le 2 septembre 2026 à 11h11min :
Merge branch ‹ fix_formulaire_forum_prive › into ‹ 3.x ›
fix: une autorisation sur les forums prives + securiser la prévisu comme sur les forums publics
See merge request spip/forum!4822
Modifié
formulaires/forum_prive.php
forum_autoriser.php
==============================
Par Cerdic, le 2 septembre 2026 à 08h38min :
fix: une autorisation sur les forums prives + securiser la prévisu comme sur les forums publics
Modifié
formulaires/forum_prive.php
forum_autoriser.php