Support #15427
fermé
GED-Publication-Description (Contenu HTML)
0%
Description
Dans la publication , l'utilisateur met du HTML dans la description.
Qui en fait n'est interpréter qu'en format texte (pas HTML)
De ce type
<p>Le lien est le suivant: <a href="/silverpeas/" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">silverpeas</a></p>
Au moment de valider --> la publication plante
Ceci depuis la version 6.4.7
Mis à jour par Miguel Moquillon il y a environ 2 mois
- Statut changé de New à Rejected
Bonjour Marc,
Le champs description des publications est un champ texte plain et non HTML. Le code HTML n'est donc pas interprété et est rendu comme tel. Pour du texte riche (HTML), il faut utiliser le contenu WYSIWYG.
Ce qui fait planter la sauvegarde ou la modification de la publication n'est pas que le contenu dans la description soit du HTML, mais qu'il y ait un trigger Javascript sur un événement onclick sur le lien ( <a> ). Ce qui fait qu'ici, le bouclier de protection de Silverpeas contre les attaques de type XSS (Cross-Site Scripting) bloque la requête.
Mis à jour par Marc Avenel il y a environ 2 mois
D'accord mais ceci ne plantait pas en 6.4.6 et précédentes
Dans tous les cas il faudrait que l'on puisse contrôler ce type d'excès dans les saisies de publications...
Mis à jour par Miguel Moquillon il y a environ 2 mois
Ceci ne plantait pas auparavant parce que le mécanisme de protection dans Silverpeas a évolué avec la 6.4.7 suite à des retours de white hats.
Mis à jour par Marc Avenel il y a environ 2 mois
Maintenant il faut que je fasse une requête SQL pour savoir les publications qui peuvent être impactées.
Et remettre tout ceci d'aplomb.
Mis à jour par David Lesimple il y a environ un mois
- Tracker changé de Bug à Support
- Votre base de données
Toutessupprimé