Author: cedric@yterium.com
Date: 2016-09-28 14:44:09 +0200 (mer, 28 sep 2016)
New Revision: 23202
Log:
Report de r23200 : - ?exec=valider_xml n'est executable que par les webmestres
- var_url ne doit pas contenir de ../../ ni de ..\..\ (windows)
- elle ne lance une action que si on a un var_token qui correspond soit a la signature de l'action en POST soit a la signature de l'action+var_url en GET. Ceci evite de faire lancer le validateur par un lien malveillant fourni a un webmstre d'un site auquel on a pas acces (CSRF)
(Nicolas Chatelain)
Modified:
branches/spip-3.0/ecrire/exec/valider_xml.php
Details: http://core.spip.org/projects/spip/repository/revisions/23202