]> git.mxchange.org Git - quix0rs-gnu-social.git/blob - actions/removepeopletag.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / actions / removepeopletag.php
1 <?php
2 /**
3  * StatusNet - the distributed open-source microblogging tool
4  * Copyright (C) 2008-2010, StatusNet, Inc.
5  *
6  * Subscription action.
7  *
8  * This program is free software: you can redistribute it and/or modify
9  * it under the terms of the GNU Affero General Public License as published by
10  * the Free Software Foundation, either version 3 of the License, or
11  * (at your option) any later version.
12  *
13  * This program is distributed in the hope that it will be useful,
14  * but WITHOUT ANY WARRANTY; without even the implied warranty of
15  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
16  * GNU Affero General Public License for more details.
17  *
18  * You should have received a copy of the GNU Affero General Public License
19  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
20  *
21  * PHP version 5
22  *
23  * @category  Action
24  * @package   StatusNet
25  * @author    Shashi Gowda <connect2shashi@gmail.com>
26  * @license   http://www.fsf.org/licensing/licenses/agpl-3.0.html AGPLv3
27  * @link      http://status.net/
28  */
29
30 if (!defined('STATUSNET')) {
31     exit(1);
32 }
33
34 require_once INSTALLDIR . '/lib/togglepeopletag.php';
35
36 /**
37  * Subscription action
38  *
39  * Subscribing to a profile. Does not work for OMB 0.1 remote subscriptions,
40  * but may work for other remote subscription protocols, like OStatus.
41  *
42  * Takes parameters:
43  *
44  *    - subscribeto: a profile ID
45  *    - token: session token to prevent CSRF attacks
46  *    - ajax: boolean; whether to return Ajax or full-browser results
47  *
48  * Only works if the current user is logged in.
49  *
50  * @category  Action
51  * @package   StatusNet
52  * @author    Shashi Gowda <connect2shashi@gmail.com>
53  * @license   http://www.fsf.org/licensing/licenses/agpl-3.0.html AGPLv3
54  * @link      http://status.net/
55  */
56 class RemovepeopletagAction extends Action
57 {
58     var $user;
59     var $tagged;
60     var $peopletag;
61
62     /**
63      * Check pre-requisites and instantiate attributes
64      *
65      * @param Array $args array of arguments (URL, GET, POST)
66      *
67      * @return boolean success flag
68      */
69     function prepare($args)
70     {
71         parent::prepare($args);
72
73         // CSRF protection
74
75         $token = $this->trimmed('token');
76
77         if (!$token || $token != common_session_token()) {
78             // TRANS: Client error displayed when the session token does not match or is not given.
79             $this->clientError(_('There was a problem with your session token.'.
80                                  ' Try again, please.'));
81         }
82
83         // Only for logged-in users
84
85         $this->user = common_current_user();
86
87         if (empty($this->user)) {
88             // TRANS: Error message displayed when trying to perform an action that requires a logged in user.
89             $this->clientError(_('Not logged in.'));
90         }
91
92         // Profile to subscribe to
93
94         $tagged_id = $this->arg('tagged');
95
96         $this->tagged = Profile::getKV('id', $tagged_id);
97
98         if (empty($this->tagged)) {
99             // TRANS: Client error displayed when referring to a non-existing profile.
100             $this->clientError(_('No such profile.'));
101         }
102
103         $id = $this->arg('peopletag_id');
104         $this->peopletag = Profile_list::getKV('id', $id);
105
106         if (empty($this->peopletag)) {
107             // TRANS: Client error displayed trying to reference a non-existing list.
108             $this->clientError(_('No such list.'));
109         }
110
111         return true;
112     }
113
114     /**
115      * Handle request
116      *
117      * Does the subscription and returns results.
118      *
119      * @param Array $args unused.
120      *
121      * @return void
122      */
123     function handle($args)
124     {
125         // Throws exception on error
126
127         $ptag = Profile_tag::unTag($this->user->id, $this->tagged->id,
128                                 $this->peopletag->tag);
129
130         if (!$ptag) {
131             $user = User::getKV('id', $this->tagged->id);
132             if ($user) {
133                 $this->clientError(
134                         // TRANS: Client error displayed when an unknown error occurs while delisting a user.
135                         // TRANS: %s is a username.
136                         sprintf(_('There was an unexpected error while delisting %s.'),
137                         $user->nickname));
138             } else {
139                 // TRANS: Client error displayed when an unknown error occurs while listing a user.
140                 // TRANS: %s is a profile URL.
141                 $this->clientError(sprintf(_('There was a problem listing %s. ' .
142                                       'The remote server is probably not responding correctly, ' .
143                                       'please try retrying later.'), $this->profile->profileurl));
144             }
145         }
146         if ($this->boolean('ajax')) {
147             $this->startHTML('text/xml;charset=utf-8');
148             $this->elementStart('head');
149             // TRANS: Title after removing a user from a list.
150             $this->element('title', null, _('Unlisted'));
151             $this->elementEnd('head');
152             $this->elementStart('body');
153             $unsubscribe = new TagButton($this, $this->tagged, $this->peopletag);
154             $unsubscribe->show();
155             $this->elementEnd('body');
156             $this->endHTML();
157         } else {
158             $url = common_local_url('subscriptions',
159                                     array('nickname' => $this->user->nickname));
160             common_redirect($url, 303);
161         }
162     }
163 }