Je viens de constater sur un site que le webmestre avait placé un script de météo :
<script language='javascript'>
var fond=''; //couleur de fond de la vignette en hexadécimal sans #
var texte = ''; //couleur du texte en hexadécimal sans #
var id_commune = '8468'; //id de la commune qui s'affiche par défaut
var police = ''; //police d'écriture</script><script language="javascript" src="http://meteorologic.net/webmaster/new/javascript_vignette.js"></script>
dans un textarea d'une CFG.
Et que le script produit son effet sur le site public avec un appel :
[(#CONFIG{soyezcreateurs/bandeau_contact}|propre)]
Est-ce que c'est volontaire que la sécurité anti script de SPIP ne soit pas appliquée sur les champs de CFG ?
Et quel filtre devrais-je appliquer en plus pour bloquer les scripts côté squelette ?
Le javascript est autorisé dans tous les contenus éditorials de SPIP pour un affichage sur le site public.
C'est un réglage que tu peux changer avec les nombreux plugins couteaux.
Cédric
Le 4 mai 2010 à 15:01, RealET a écrit :
Bonjour,
Je viens de constater sur un site que le webmestre avait placé un script de météo :
<script language='javascript'>
var fond=''; //couleur de fond de la vignette en hexadécimal sans #
var texte = ''; //couleur du texte en hexadécimal sans #
var id_commune = '8468'; //id de la commune qui s'affiche par défaut
var police = ''; //police d'écriture</script><script language="javascript" src="http://meteorologic.net/webmaster/new/javascript_vignette.js"></script>
dans un textarea d'une CFG.
Et que le script produit son effet sur le site public avec un appel :
[(#CONFIG{soyezcreateurs/bandeau_contact}|propre)]
Est-ce que c'est volontaire que la sécurité anti script de SPIP ne soit pas appliquée sur les champs de CFG ?
Et quel filtre devrais-je appliquer en plus pour bloquer les scripts côté squelette ?
C'est comme ca depuis quelle version de SPIP? J'étais encore au courant d'un filtre qui interdisait aux rédacteurs l'utilisation de tout contenu actif.
klaus++
cedric.morin@yterium.com wrote:
Le javascript est autorisé dans tous les contenus éditorials de SPIP pour un affichage sur le site public.
C'est un réglage que tu peux changer avec les nombreux plugins couteaux.
Cédric