]> git.mxchange.org Git - quix0rs-gnu-social.git/blob - actions/apistatusesdestroy.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / actions / apistatusesdestroy.php
1 <?php
2 /**
3  * StatusNet, the distributed open-source microblogging tool
4  *
5  * Destroy a notice through the API
6  *
7  * PHP version 5
8  *
9  * LICENCE: This program is free software: you can redistribute it and/or modify
10  * it under the terms of the GNU Affero General Public License as published by
11  * the Free Software Foundation, either version 3 of the License, or
12  * (at your option) any later version.
13  *
14  * This program is distributed in the hope that it will be useful,
15  * but WITHOUT ANY WARRANTY; without even the implied warranty of
16  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
17  * GNU Affero General Public License for more details.
18  *
19  * You should have received a copy of the GNU Affero General Public License
20  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
21  *
22  * @category  API
23  * @package   StatusNet
24  * @author    Craig Andrews <candrews@integralblue.com>
25  * @author    Evan Prodromou <evan@status.net>
26  * @author    Jeffery To <jeffery.to@gmail.com>
27  * @author    Tom Blankenship <mac65@mac65.com>
28  * @author    Mike Cochrane <mikec@mikenz.geek.nz>
29  * @author    Robin Millette <robin@millette.info>
30  * @author    Zach Copley <zach@status.net>
31  * @copyright 2009 StatusNet, Inc.
32  * @copyright 2009 Free Software Foundation, Inc http://www.fsf.org
33  * @license   http://www.fsf.org/licensing/licenses/agpl-3.0.html GNU Affero General Public License version 3.0
34  * @link      http://status.net/
35  */
36
37 if (!defined('STATUSNET')) {
38     exit(1);
39 }
40
41 /**
42  * Deletes one of the authenticating user's statuses (notices).
43  *
44  * @category API
45  * @package  StatusNet
46  * @author   Craig Andrews <candrews@integralblue.com>
47  * @author   Evan Prodromou <evan@status.net>
48  * @author   Jeffery To <jeffery.to@gmail.com>
49  * @author   Tom Blankenship <mac65@mac65.com>
50  * @author   Mike Cochrane <mikec@mikenz.geek.nz>
51  * @author   Robin Millette <robin@millette.info>
52  * @author   Zach Copley <zach@status.net>
53  * @license  http://www.fsf.org/licensing/licenses/agpl-3.0.html GNU Affero General Public License version 3.0
54  * @link     http://status.net/
55  */
56 class ApiStatusesDestroyAction extends ApiAuthAction
57 {
58     var $status = null;
59
60     /**
61      * Take arguments for running
62      *
63      * @param array $args $_REQUEST args
64      *
65      * @return boolean success flag
66      */
67     function prepare($args)
68     {
69         parent::prepare($args);
70
71         $this->user = $this->auth_user;
72         $this->notice_id = (int)$this->trimmed('id');
73
74         if (empty($notice_id)) {
75             $this->notice_id = (int)$this->arg('id');
76         }
77
78         $this->notice = Notice::getKV((int)$this->notice_id);
79
80         return true;
81      }
82
83     /**
84      * Handle the request
85      *
86      * Delete the notice and all related replies
87      *
88      * @param array $args $_REQUEST data (unused)
89      *
90      * @return void
91      */
92     function handle($args)
93     {
94         parent::handle($args);
95
96         if (!in_array($this->format, array('xml', 'json'))) {
97             $this->clientError(
98                 // TRANS: Client error displayed when coming across a non-supported API method.
99                 _('API method not found.'),
100                 404
101             );
102             return;
103         }
104
105         if (!in_array($_SERVER['REQUEST_METHOD'], array('POST', 'DELETE'))) {
106             $this->clientError(
107                 // TRANS: Client error displayed trying to delete a status not using POST or DELETE.
108                 // TRANS: POST and DELETE should not be translated.
109                 _('This method requires a POST or DELETE.'),
110                 400,
111                 $this->format
112             );
113             return;
114         }
115
116         if (empty($this->notice)) {
117             $this->clientError(
118                 // TRANS: Client error displayed trying to delete a status with an invalid ID.
119                 _('No status found with that ID.'),
120                 404, $this->format
121             );
122             return;
123         }
124
125         if ($this->user->id == $this->notice->profile_id) {
126             if (Event::handle('StartDeleteOwnNotice', array($this->user, $this->notice))) {
127                 $this->notice->deleteAs($this->scoped);
128                 Event::handle('EndDeleteOwnNotice', array($this->user, $this->notice));
129             }
130                 $this->showNotice();
131         } else {
132             $this->clientError(
133                 // TRANS: Client error displayed trying to delete a status of another user.
134                 _('You may not delete another user\'s status.'),
135                 403,
136                 $this->format
137             );
138         }
139     }
140
141     /**
142      * Show the deleted notice
143      *
144      * @return void
145      */
146     function showNotice()
147     {
148         if (!empty($this->notice)) {
149             if ($this->format == 'xml') {
150                 $this->showSingleXmlStatus($this->notice);
151             } elseif ($this->format == 'json') {
152                 $this->show_single_json_status($this->notice);
153             }
154         }
155     }
156 }