]> git.mxchange.org Git - quix0rs-gnu-social.git/blob - plugins/Poll/actions/newpoll.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / plugins / Poll / actions / newpoll.php
1 <?php
2 /**
3  * StatusNet - the distributed open-source microblogging tool
4  * Copyright (C) 2011, StatusNet, Inc.
5  *
6  * Add a new Poll
7  *
8  * PHP version 5
9  *
10  * This program is free software: you can redistribute it and/or modify
11  * it under the terms of the GNU Affero General Public License as published by
12  * the Free Software Foundation, either version 3 of the License, or
13  * (at your option) any later version.
14  *
15  * This program is distributed in the hope that it will be useful,
16  * but WITHOUT ANY WARRANTY; without even the implied warranty of
17  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
18  * GNU Affero General Public License for more details.
19  *
20  * You should have received a copy of the GNU Affero General Public License
21  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
22  *
23  * @category  Poll
24  * @package   StatusNet
25  * @author    Brion Vibber <brion@status.net>
26  * @copyright 2011 StatusNet, Inc.
27  * @license   http://www.fsf.org/licensing/licenses/agpl-3.0.html AGPL 3.0
28  * @link      http://status.net/
29  */
30 if (!defined('STATUSNET')) {
31     // This check helps protect against security problems;
32     // your code file can't be executed directly from the web.
33     exit(1);
34 }
35
36 /**
37  * Add a new Poll
38  *
39  * @category  Poll
40  * @package   StatusNet
41  * @author    Evan Prodromou <evan@status.net>
42  * @copyright 2010 StatusNet, Inc.
43  * @license   http://www.fsf.org/licensing/licenses/agpl-3.0.html AGPL 3.0
44  * @link      http://status.net/
45  */
46 class NewPollAction extends Action
47 {
48     protected $user        = null;
49     protected $error       = null;
50     protected $complete    = null;
51
52     protected $question    = null;
53     protected $options     = array();
54
55     /**
56      * Returns the title of the action
57      *
58      * @return string Action title
59      */
60     function title()
61     {
62         // TRANS: Title for poll page.
63         return _m('New poll');
64     }
65
66     /**
67      * For initializing members of the class.
68      *
69      * @param array $argarray misc. arguments
70      *
71      * @return boolean true
72      */
73     function prepare($argarray)
74     {
75         parent::prepare($argarray);
76
77         $this->user = common_current_user();
78
79         if (empty($this->user)) {
80             // TRANS: Client exception thrown trying to create a poll while not logged in.
81             throw new ClientException(_m('You must be logged in to post a poll.'),
82                                       403);
83         }
84
85         if ($this->isPost()) {
86             $this->checkSessionToken();
87         }
88
89         $this->question = $this->trimmed('question');
90         for ($i = 1; $i < 20; $i++) {
91             $opt = $this->trimmed('option' . $i);
92             if ($opt != '') {
93                 $this->options[] = $opt;
94             }
95         }
96
97         return true;
98     }
99
100     /**
101      * Handler method
102      *
103      * @param array $argarray is ignored since it's now passed in in prepare()
104      *
105      * @return void
106      */
107     function handle($argarray=null)
108     {
109         parent::handle($argarray);
110
111         if ($this->isPost()) {
112             $this->newPoll();
113         } else {
114             $this->showPage();
115         }
116
117         return;
118     }
119
120     /**
121      * Add a new Poll
122      *
123      * @return void
124      */
125     function newPoll()
126     {
127         if ($this->boolean('ajax')) {
128             GNUsocial::setApi(true);
129         }
130         try {
131             if (empty($this->question)) {
132             // TRANS: Client exception thrown trying to create a poll without a question.
133                 throw new ClientException(_m('Poll must have a question.'));
134             }
135
136             if (count($this->options) < 2) {
137                 // TRANS: Client exception thrown trying to create a poll with fewer than two options.
138                 throw new ClientException(_m('Poll must have at least two options.'));
139             }
140
141             // Notice options; distinct from choices for the poll
142
143             $options = array();
144
145             // Does the heavy-lifting for getting "To:" information
146
147             ToSelector::fillOptions($this, $options);
148
149             $saved = Poll::saveNew($this->user->getProfile(),
150                                    $this->question,
151                                    $this->options,
152                                    $options);
153
154         } catch (ClientException $ce) {
155             $this->error = $ce->getMessage();
156             $this->showPage();
157             return;
158         }
159
160         if ($this->boolean('ajax')) {
161             $this->startHTML('text/xml;charset=utf-8');
162             $this->elementStart('head');
163             // TRANS: Page title after sending a notice.
164             $this->element('title', null, _m('Notice posted'));
165             $this->elementEnd('head');
166             $this->elementStart('body');
167             $this->showNotice($saved);
168             $this->elementEnd('body');
169             $this->endHTML();
170         } else {
171             common_redirect($saved->getUrl(), 303);
172         }
173     }
174
175     /**
176      * Output a notice
177      *
178      * Used to generate the notice code for Ajax results.
179      *
180      * @param Notice $notice Notice that was saved
181      *
182      * @return void
183      */
184     function showNotice(Notice $notice)
185     {
186         class_exists('NoticeList'); // @fixme hack for autoloader
187         $nli = new NoticeListItem($notice, $this);
188         $nli->show();
189     }
190
191     /**
192      * Show the Poll form
193      *
194      * @return void
195      */
196     function showContent()
197     {
198         if (!empty($this->error)) {
199             $this->element('p', 'error', $this->error);
200         }
201
202         $form = new NewPollForm($this,
203                                  $this->question,
204                                  $this->options);
205
206         $form->show();
207
208         return;
209     }
210
211     /**
212      * Return true if read only.
213      *
214      * MAY override
215      *
216      * @param array $args other arguments
217      *
218      * @return boolean is read only action?
219      */
220     function isReadOnly($args)
221     {
222         if ($_SERVER['REQUEST_METHOD'] == 'GET' ||
223             $_SERVER['REQUEST_METHOD'] == 'HEAD') {
224             return true;
225         } else {
226             return false;
227         }
228     }
229 }