]> git.mxchange.org Git - quix0rs-gnu-social.git/blob - actions/unsubscribepeopletag.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / actions / unsubscribepeopletag.php
1 <?php
2 /**
3  * StatusNet, the distributed open-source microblogging tool
4  *
5  * Unsubscribe to a peopletag
6  *
7  * PHP version 5
8  *
9  * LICENCE: This program is free software: you can redistribute it and/or modify
10  * it under the terms of the GNU Affero General Public License as published by
11  * the Free Software Foundation, either version 3 of the License, or
12  * (at your option) any later version.
13  *
14  * This program is distributed in the hope that it will be useful,
15  * but WITHOUT ANY WARRANTY; without even the implied warranty of
16  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
17  * GNU Affero General Public License for more details.
18  *
19  * You should have received a copy of the GNU Affero General Public License
20  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
21  *
22  * @category  Peopletag
23  * @package   StatusNet
24  * @author    Shashi Gowda <connect2shashi@gmail.com>
25  * @license   http://www.fsf.org/licensing/licenses/agpl-3.0.html GNU Affero General Public License version 3.0
26  * @link      http://status.net/
27  */
28
29 if (!defined('STATUSNET') && !defined('LACONICA')) {
30     exit(1);
31 }
32
33 /**
34  * Unsubscribe to a peopletag
35  *
36  * This is the action for subscribing to a peopletag. It works more or less like the join action
37  * for groups.
38  *
39  * @category Peopletag
40  * @package  StatusNet
41  * @author   Shashi Gowda <connect2shashi@gmail.com>
42  * @license  http://www.fsf.org/licensing/licenses/agpl-3.0.html GNU Affero General Public License version 3.0
43  * @link     http://status.net/
44  */
45 class UnsubscribepeopletagAction extends Action
46 {
47     var $peopletag = null;
48     var $tagger = null;
49
50     /**
51      * Prepare to run
52      */
53
54     function prepare($args)
55     {
56         parent::prepare($args);
57
58         if (!common_logged_in()) {
59             // TRANS: Client error displayed when trying to perform an action while not logged in.
60             $this->clientError(_('You must be logged in to unsubscribe from a list.'));
61         }
62         // Only allow POST requests
63
64         if ($_SERVER['REQUEST_METHOD'] != 'POST') {
65             // TRANS: Client error displayed when trying to use another method than POST.
66             $this->clientError(_('This action only accepts POST requests.'));
67         }
68
69         // CSRF protection
70
71         $token = $this->trimmed('token');
72
73         if (!$token || $token != common_session_token()) {
74             // TRANS: Client error displayed when the session token does not match or is not given.
75             $this->clientError(_('There was a problem with your session token.'.
76                                  ' Try again, please.'));
77         }
78
79         $tagger_arg = $this->trimmed('tagger');
80         $tag_arg = $this->trimmed('tag');
81
82         $id = intval($this->arg('id'));
83         if ($id) {
84             $this->peopletag = Profile_list::getKV('id', $id);
85         } else {
86             // TRANS: Client error displayed when trying to perform an action without providing an ID.
87             $this->clientError(_('No ID given.'), 404);
88         }
89
90         if (!$this->peopletag || $this->peopletag->private) {
91             // TRANS: Client error displayed trying to reference a non-existing list.
92             $this->clientError(_('No such list.'), 404);
93         }
94
95         $this->tagger = Profile::getKV('id', $this->peopletag->tagger);
96
97         return true;
98     }
99
100     /**
101      * Handle the request
102      *
103      * On POST, add the current user to the group
104      *
105      * @param array $args unused
106      *
107      * @return void
108      */
109     function handle($args)
110     {
111         parent::handle($args);
112
113         $cur = common_current_user();
114
115         Profile_tag_subscription::remove($this->peopletag, $cur);
116
117         if ($this->boolean('ajax')) {
118             $this->startHTML('text/xml;charset=utf-8');
119             $this->elementStart('head');
120             // TRANS: Page title for form that allows unsubscribing from a list.
121             // TRANS: %1$s is a nickname, %2$s is a list, %3$s is a tagger nickname.
122             $this->element('title', null, sprintf(_('%1$s unsubscribed from list %2$s by %3$s'),
123                                                   $cur->nickname,
124                                                   $this->peopletag->tag,
125                                                   $this->tagger->nickname));
126             $this->elementEnd('head');
127             $this->elementStart('body');
128             $lf = new SubscribePeopletagForm($this, $this->peopletag);
129             $lf->show();
130             $this->elementEnd('body');
131             $this->endHTML();
132         } else {
133             if (common_get_returnto()) {
134                 common_redirect(common_get_returnto(), 303);
135             }
136             common_redirect(common_local_url('peopletagsbyuser', array('nickname' => $this->tagger->nickname)), 303);
137         }
138     }
139 }