]> git.mxchange.org Git - quix0rs-gnu-social.git/blob - actions/invite.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / actions / invite.php
1 <?php
2 /*
3  * StatusNet - the distributed open-source microblogging tool
4  * Copyright (C) 2008-2011, StatusNet, Inc.
5  *
6  * This program is free software: you can redistribute it and/or modify
7  * it under the terms of the GNU Affero General Public License as published by
8  * the Free Software Foundation, either version 3 of the License, or
9  * (at your option) any later version.
10  *
11  * This program is distributed in the hope that it will be useful,
12  * but WITHOUT ANY WARRANTY; without even the implied warranty of
13  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
14  * GNU Affero General Public License for more details.
15  *
16  * You should have received a copy of the GNU Affero General Public License
17  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
18  */
19
20 if (!defined('GNUSOCIAL')) { exit(1); }
21
22 // @todo XXX: Add documentation.
23 class InviteAction extends Action
24 {
25     var $mode = null;
26     var $error = null;
27     var $already = null;
28     var $subbed = null;
29     var $sent = null;
30
31     function showNoticeForm()
32     {
33         return;
34     }
35
36     function isReadOnly($args)
37     {
38         return false;
39     }
40
41     function handle($args)
42     {
43         parent::handle($args);
44         if (!common_config('invite', 'enabled')) {
45             // TRANS: Client error displayed when trying to sent invites while they have been disabled.
46             $this->clientError(_('Invites have been disabled.'));
47         } else if (!common_logged_in()) {
48             // TRANS: Client error displayed when trying to sent invites while not logged in.
49             // TRANS: %s is the StatusNet site name.
50             $this->clientError(sprintf(_('You must be logged in to invite other users to use %s.'),
51                                         common_config('site', 'name')));
52             return;
53         } else if ($_SERVER['REQUEST_METHOD'] == 'POST') {
54             $this->sendInvitations();
55         } else {
56             $this->showForm();
57         }
58     }
59
60     function sendInvitations()
61     {
62         if (Event::handle('StartSendInvitations', array(&$this))) {
63             // CSRF protection
64             $token = $this->trimmed('token');
65             if (!$token || $token != common_session_token()) {
66                 // TRANS: Client error displayed when the session token does not match or is not given.
67                 $this->showForm(_('There was a problem with your session token. Try again, please.'));
68                 return;
69             }
70
71             $user = common_current_user();
72             $profile = $user->getProfile();
73
74             $bestname = $profile->getBestName();
75             $sitename = common_config('site', 'name');
76             $personal = $this->trimmed('personal');
77
78             $addresses = explode("\n", $this->trimmed('addresses'));
79             foreach ($addresses as $email) {
80                 $email = trim($email);
81                 $valid = null;
82
83                 try {
84
85                     if (Event::handle('StartValidateUserEmail', array(null, $email, &$valid))) {
86                         $valid = Validate::email($email, common_config('email', 'check_domain'));
87                         Event::handle('EndValidateUserEmail', array(null, $email, &$valid));
88                     }
89
90                     if ($valid) {
91                         if (Event::handle('StartValidateEmailInvite', array($user, $email, &$valid))) {
92                             $valid = true;
93                             Event::handle('EndValidateEmailInvite', array($user, $email, &$valid));
94                         }
95                     }
96
97                     if (!$valid) {
98                         // TRANS: Form validation message when providing an e-mail address that does not validate.
99                         // TRANS: %s is an invalid e-mail address.
100                         $this->showForm(sprintf(_('Invalid email address: %s.'), $email));
101                         return;
102                     }
103                 } catch (ClientException $e) {
104                     $this->showForm($e->getMessage());
105                     return;
106                 }
107             }
108
109             $this->already = array();
110             $this->subbed = array();
111
112             foreach ($addresses as $email) {
113                 $email = common_canonical_email($email);
114                 try {
115                     // If this user is already registered, subscribe to it!
116                     $other = Profile::getByEmail($email);
117                     if ($user->isSubscribed($other)) {
118                         $this->already[] = $other;
119                     } else {
120                         try {
121                             Subscription::ensureStart($profile, $other);
122                             $this->subbed[] = $other;
123                         } catch (Exception $e) {
124                             // subscription failed, but keep working
125                             common_debug('Invitation-based subscription failed: '.$e->getMessage());
126                         }
127                     }
128                 } catch (NoSuchUserException $e) {
129                     // If email was not known, let's send an invite!
130                     $this->sent[] = $email;
131                     $this->sendInvitation($email, $user, $personal);
132                 }
133             }
134
135             $this->mode = 'sent';
136
137             $this->showPage();
138             Event::handle('EndSendInvitations', array($this));
139         }
140     }
141
142     function showScripts()
143     {
144         parent::showScripts();
145         $this->autofocus('addresses');
146     }
147
148     function title()
149     {
150         if ($this->mode == 'sent') {
151             // TRANS: Page title when invitations have been sent.
152             return _('Invitations sent');
153         } else {
154             // TRANS: Page title when inviting potential users.
155             return _('Invite new users');
156         }
157     }
158
159     function showContent()
160     {
161         if ($this->mode == 'sent') {
162             $this->showInvitationSuccess();
163         } else {
164             $this->showInviteForm();
165         }
166     }
167
168     function showInvitationSuccess()
169     {
170         if (Event::handle('StartShowInvitationSuccess', array($this))) {
171             if ($this->already) {
172                 // TRANS: Message displayed inviting users to use a StatusNet site while the inviting user
173                 // TRANS: is already subscribed to one or more users with the given e-mail address(es).
174                 // TRANS: Plural form is based on the number of reported already subscribed e-mail addresses.
175                 // TRANS: Followed by a bullet list.
176                 $this->element('p', null, _m('You are already subscribed to this user:',
177                                              'You are already subscribed to these users:',
178                                              count($this->already)));
179                 $this->elementStart('ul');
180                 foreach ($this->already as $other) {
181                     // TRANS: Used as list item for already subscribed users (%1$s is nickname, %2$s is e-mail address).
182                     $this->element('li', null, sprintf(_m('INVITE','%1$s (%2$s)'), $other->nickname, $other->email));
183                 }
184                 $this->elementEnd('ul');
185             }
186             if ($this->subbed) {
187                 // TRANS: Message displayed inviting users to use a StatusNet site while the invited user
188                 // TRANS: already uses a this StatusNet site. Plural form is based on the number of
189                 // TRANS: reported already present people. Followed by a bullet list.
190                 $this->element('p', null, _m('This person is already a user and you were automatically subscribed:',
191                                              'These people are already users and you were automatically subscribed to them:',
192                                              count($this->subbed)));
193                 $this->elementStart('ul');
194                 foreach ($this->subbed as $other) {
195                     // TRANS: Used as list item for already registered people (%1$s is nickname, %2$s is e-mail address).
196                     $this->element('li', null, sprintf(_m('INVITE','%1$s (%2$s)'), $other->nickname, $other->email));
197                 }
198                 $this->elementEnd('ul');
199             }
200             if ($this->sent) {
201                 // TRANS: Message displayed inviting users to use a StatusNet site. Plural form is
202                 // TRANS: based on the number of invitations sent. Followed by a bullet list of
203                 // TRANS: e-mail addresses to which invitations were sent.
204                 $this->element('p', null, _m('Invitation sent to the following person:',
205                                              'Invitations sent to the following people:',
206                                              count($this->sent)));
207                 $this->elementStart('ul');
208                 foreach ($this->sent as $other) {
209                     $this->element('li', null, $other);
210                 }
211                 $this->elementEnd('ul');
212                 // TRANS: Generic message displayed after sending out one or more invitations to
213                 // TRANS: people to join a StatusNet site.
214                 $this->element('p', null, _('You will be notified when your invitees accept the invitation and register on the site. Thanks for growing the community!'));
215             }
216             Event::handle('EndShowInvitationSuccess', array($this));
217         }
218     }
219
220     function showPageNotice()
221     {
222         if ($this->mode != 'sent') {
223             if ($this->error) {
224                 $this->element('p', 'error', $this->error);
225             } else {
226                 $this->elementStart('div', 'instructions');
227                 $this->element('p', null,
228                                // TRANS: Form instructions.
229                                _('Use this form to invite your friends and colleagues to use this service.'));
230                 $this->elementEnd('div');
231             }
232         }
233     }
234
235     function showForm($error=null)
236     {
237         $this->mode = 'form';
238         $this->error = $error;
239         $this->showPage();
240     }
241
242     function showInviteForm()
243     {
244         if (Event::handle('StartShowInviteForm', array($this))) {
245             $form = new InviteForm($this);
246             $form->show();
247             Event::handle('EndShowInviteForm', array($this));
248         }
249     }
250
251     function sendInvitation($email, $user, $personal)
252     {
253         $profile = $user->getProfile();
254         $bestname = $profile->getBestName();
255
256         $sitename = common_config('site', 'name');
257
258         $invite = new Invitation();
259
260         $invite->address = $email;
261         $invite->address_type = 'email';
262         $invite->code = common_confirmation_code(128);
263         $invite->user_id = $user->id;
264         $invite->created = common_sql_now();
265
266         if (!$invite->insert()) {
267             common_log_db_error($invite, 'INSERT', __FILE__);
268             return false;
269         }
270
271         $confirmUrl = common_local_url('register', array('code' => $invite->code));
272
273         $recipients = array($email);
274
275         $headers['From'] = mail_notify_from();
276         $headers['To'] = trim($email);
277         $headers['Content-Type'] = 'text/html; charset=UTF-8';
278
279         // TRANS: Subject for invitation email. Note that 'them' is correct as a gender-neutral
280         // TRANS: singular 3rd-person pronoun in English. %1$s is the inviting user, $2$s is
281         // TRANS: the StatusNet sitename.
282         $headers['Subject'] = sprintf(_('%1$s has invited you to join them on %2$s'), $bestname, $sitename);
283
284         $title = (empty($personal)) ? 'invite' : 'invitepersonal';
285
286         // @todo FIXME: i18n issue.
287         $inviteTemplate = DocFile::forTitle($title, DocFile::mailPaths());
288
289         $body = $inviteTemplate->toHTML(array('inviter' => $bestname,
290                                               'inviterurl' => $profile->profileurl,
291                                               'confirmurl' => $confirmUrl,
292                                               'personal' => $personal));
293
294         common_debug('Confirm URL is ' . common_local_url('register', array('code' => $invite->code)));
295
296         mail_send($recipients, $headers, $body);
297     }
298 }