Bug #14926
ouvert
Erreur 403 lors de l'ajout d'un champ à un formulaire
0%
Description
Exemple: ajout d'un champ au formulaire de creation.
The request for path /silverpeas/RworkflowDesigner/jsp/ModifyForm isn't valid: Attempt of a CSRF attack detected at 2025-07-15T17:31:01.083295+0200
Mis à jour par Miguel Moquillon il y a 3 jours
· Edité
- Statut changé de Assigned à Qualified
Oui normal. Tentative de créer ou de modifier une ressource via une méthode HTTP GET !!!!
Voilà ce qui arrive à terme lorsqu'on laisse des gugus qui ne connaissaient rien au web coder sans encadrement sérieux
Mis à jour par David Lesimple il y a un jour
Miguel Moquillon a écrit (#note-1):
Oui normal. Tentative de créer ou de modifier une ressource via une méthode HTTP GET !!!!
Voilà ce qui arrive à terme lorsqu'on laisse des gugus qui ne connaissaient rien au web coder sans encadrement sérieux
Tu devrais regarder l'historique des modifs, tu serais surpris ;o)
Mis à jour par Miguel Moquillon il y a un jour
- Statut changé de Qualified à In progress...
En dehors du la suppression par un GET, il y a aussi que les redirections, une fois une modification/création/suppression appliquée, sont interceptées par notre bouclier de protection contre les tentatives CRSF. Et quand les URL de redirection contiennent les termes interdits (comme tout mot commençant par "creat" par exemple), notre bouclier l'arrête instantanément.
Ceci est un effet de bord de notre bouclier pour palier à l'utilisation du GET dans tout Silverpeas pour effectuer des actions à effet de bord ! Si dès le début, il y avait eu un tant soit peu un respect des specifications HTTP, dont principalement l'utilisation des méthodes HTTP comme spécifiée par la normalisation, ben il on n'aurait pas eu besoin d'une telle protection de la part du bouclier.
A terme, tout laxisme se paie et avec le temps qui passe et le code qui se rajoute dans ce temps, il se paie lourdement, voir très lourdement.
Mis à jour par Miguel Moquillon il y a environ 16 heures
- Statut changé de In progress... à Resolved
Bon, lors de mes tests sur ma correction, j'ai remarqué que le Workflow Designer n'est pas fait pour créer des workflows mais plus pour modifier ceux importés. Quoiqu'il en soit, malgré tout, il y a un grand nombre de bogues dedans sans parler d'un code hyper trop compliqué. J'en ai donc profité, afin de bien tester la correction sur les suppressions, de corriger un certains nombre de bogues.
Au regard des modifications, @David Lesimple il est impératif que le PR soit testé avant tout intégration.
Le PR https://github.com/Silverpeas/Silverpeas-Core/pull/1418