]> git.mxchange.org Git - quix0rs-gnu-social.git/blob - actions/unsubscribe.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / actions / unsubscribe.php
1 <?php
2 /**
3  * Unsubscribe handler
4  *
5  * PHP version 5
6  *
7  * @category Action
8  * @package  StatusNet
9  * @author   Evan Prodromou <evan@status.net>
10  * @author   Robin Millette <millette@status.net>
11  * @license  http://www.fsf.org/licensing/licenses/agpl.html AGPLv3
12  * @link     http://status.net/
13  *
14  * StatusNet - the distributed open-source microblogging tool
15  * Copyright (C) 2008, 2009, StatusNet, Inc.
16  *
17  * This program is free software: you can redistribute it and/or modify
18  * it under the terms of the GNU Affero General Public License as published by
19  * the Free Software Foundation, either version 3 of the License, or
20  * (at your option) any later version.
21  *
22  * This program is distributed in the hope that it will be useful,
23  * but WITHOUT ANY WARRANTY; without even the implied warranty of
24  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
25  * GNU Affero General Public License for more details.
26  *
27  * You should have received a copy of the GNU Affero General Public License
28  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
29  */
30
31 if (!defined('STATUSNET') && !defined('LACONICA')) {
32     exit(1);
33 }
34
35 /**
36  * Unsubscribe handler
37  *
38  * @category Action
39  * @package  StatusNet
40  * @author   Evan Prodromou <evan@status.net>
41  * @author   Robin Millette <millette@status.net>
42  * @license  http://www.fsf.org/licensing/licenses/agpl.html AGPLv3
43  * @link     http://status.net/
44  */
45 class UnsubscribeAction extends Action
46 {
47     function handle($args)
48     {
49         parent::handle($args);
50         if (!common_logged_in()) {
51             // TRANS: Error message displayed when trying to perform an action that requires a logged in user.
52             $this->clientError(_('Not logged in.'));
53         }
54
55         if ($_SERVER['REQUEST_METHOD'] != 'POST') {
56             common_redirect(common_local_url('subscriptions',
57                                              array('nickname' => $this->scoped->nickname)));
58         }
59
60         /* Use a session token for CSRF protection. */
61
62         $token = $this->trimmed('token');
63
64         if (!$token || $token != common_session_token()) {
65             // TRANS: Client error displayed when the session token does not match or is not given.
66             $this->clientError(_('There was a problem with your session token. ' .
67                                  'Try again, please.'));
68         }
69
70         $other_id = $this->arg('unsubscribeto');
71
72         if (!$other_id) {
73             // TRANS: Client error displayed when trying to unsubscribe without providing a profile ID.
74             $this->clientError(_('No profile ID in request.'));
75         }
76
77         $other = Profile::getKV('id', $other_id);
78
79         if (!($other instanceof Profile)) {
80             // TRANS: Client error displayed when trying to unsubscribe while providing a non-existing profile ID.
81             $this->clientError(_('No profile with that ID.'));
82         }
83
84         try {
85             Subscription::cancel($this->scoped, $other);
86         } catch (Exception $e) {
87             $this->clientError($e->getMessage());
88         }
89
90         if ($this->boolean('ajax')) {
91             $this->startHTML('text/xml;charset=utf-8');
92             $this->elementStart('head');
93             // TRANS: Page title for page to unsubscribe.
94             $this->element('title', null, _('Unsubscribed'));
95             $this->elementEnd('head');
96             $this->elementStart('body');
97             $subscribe = new SubscribeForm($this, $other);
98             $subscribe->show();
99             $this->elementEnd('body');
100             $this->endHTML();
101         } else {
102             common_redirect(common_local_url('subscriptions', array('nickname' => $this->scoped->nickname)), 303);
103         }
104     }
105 }