r13927 - branches/spip-2.0/ecrire/action branches/spip-2.0/ecrire/inc spip/ecrire/action

Author: esj@rezo.net
Date: 2009-04-28 17:09:03 +0200 (mar, 28 avr 2009)
New Revision: 13927

Log:
Ce n'est pas parce que certains systèmes d'exploitation que je ne nommerai pas pataugent avec certains noms de fichiers qu'il faut considérer [11243] comme une {{fausse bonne idée}} comme le dit [13760]. Je filtre le cas du titre de document n'ayant pas d'extension qui ne doit en effet pas être utilisé comme nom de fichier du {{{Content-Disposition}}} (et encore, {{{Makefile}}} est notoirement recevable), mais autrement je restaure le comportement d'avant qui est une fausse {{fausse bonne idée}}}, autrement dit une vraie bonné idée.

Par contrecoup, report du renforcement de sécurité su secret du site [13866] dans la branche 2.0.

Modified:
   branches/spip-2.0/ecrire/action/acceder_document.php
   branches/spip-2.0/ecrire/inc/meta.php
   branches/spip-2.0/ecrire/inc/securiser_action.php
   spip/ecrire/action/acceder_document.php

Details: http://trac.rezo.net/trac/spip/changeset/13927

Il faut alors être plus strict que cela :

- vérifier que l'extension est bien la bonne
- vérifier que le titre ne comporte pas de caractères interdits dans les nom de fichiers (:,/\<>)

car il ne faut pas oublier que le champ titre est avant tout un titre et pas un nom de fichier, et qu'on y trouve tout et n'importe quoi, qui ne doit pas bloquer les accès légitimes aux fichiers.

Cédric

Le 28 avr. 09 à 17:09, esj@rezo.net a écrit :

Author: esj@rezo.net
Date: 2009-04-28 17:09:03 +0200 (mar, 28 avr 2009)
New Revision: 13927

Log:
Ce n'est pas parce que certains systèmes d'exploitation que je ne nommerai pas pataugent avec certains noms de fichiers qu'il faut considérer [11243] comme une {{fausse bonne idée}} comme le dit [13760]. Je filtre le cas du titre de document n'ayant pas d'extension qui ne doit en effet pas être utilisé comme nom de fichier du {{{Content-Disposition}}} (et encore, {{{Makefile}}} est notoirement recevable), mais autrement je restaure le comportement d'avant qui est une fausse {{fausse bonne idée}}}, autrement dit une vraie bonné idée.

Par contrecoup, report du renforcement de sécurité su secret du site [13866] dans la branche 2.0.

Modified:
  branches/spip-2.0/ecrire/action/acceder_document.php
  branches/spip-2.0/ecrire/inc/meta.php
  branches/spip-2.0/ecrire/inc/securiser_action.php
  spip/ecrire/action/acceder_document.php

Details: http://trac.rezo.net/trac/spip/changeset/13927

_______________________________________________
spip-commit@rezo.net - http://listes.rezo.net/mailman/listinfo/spip-commit
dev: http://trac.rezo.net/trac/spip/