Changeset 1557

Show
Ignore:
Timestamp:
03/17/08 19:52:45 (2 months ago)
Author:
Neal
Message:

Added CSRF protection to the delete avatar link.
Fixed a bug with the mark all as read CSRF protection.

Files:

Legend:

Unmodified
Added
Removed
Modified
Copied
Moved
  • branches/punbb-1.3-dev/upload/include/rewrite_rules.php

    r1556 r1557  
    3939        '/^user[\/_-]?([0-9]+)(\.html?|\/)?$/i'                                                                                                                                                                 =>      'profile.php?id=$1', 
    4040        '/^user[\/_-]?([0-9]+)[\/_-]?([a-z]+)(\.html?|\/)?$/i'                                                                                                                                  =>      'profile.php?section=$2&id=$1', 
    41         '/^(change|delete|upload)[\/_-]?(email|pass|avatar|user)(word)?[\/_-]?([0-9]+)(\.html?|\/)?$/i'                                                        =>      'profile.php?action=$1_$2&id=$4', 
     41        '/^(change|delete|upload)[\/_-]?(email|pass|avatar|user)(word)?[\/_-]?([0-9]+)[\/_-]?([a-z0-9]?)(\.html?|\/)?$/i'              =>      'profile.php?action=$1_$2&id=$4&csrf_token=$5', 
    4242        '/^change[\/_-]?(email|pass)(word)?[\/_-]?([0-9]+)[\/_-]([a-zA-Z0-9]+)(\.html?|\/)?$/i'                                                                 =>      'profile.php?action=change_$1&id=$3&key=$4', 
    4343        '/^search[\/_-]?(new|recent|unanswered|subscriptions)(\.html?|\/)?$/i'                                                                                                  =>      'search.php?action=show_$1', 
     
    5454        '/^users\/(.*)\/([0-9-]+)\/?([a-z_]+)[\/_-]([a-zA-Z]+)[\/_-]p(age)?[\/_-]?([0-9]+)(\.html?|\/)?$/i'                                             =>      'userlist.php?username=$1&show_group=$2&sort_by=$3&sort_dir=$4&p=$6', 
    5555        '/^(email|report|subscribe|unsubscribe)[\/_-]?([0-9]+)(\.html?|\/)?$/i'                                                                                                 =>      'misc.php?$1=$2', 
    56         '/^(mark|rules)[\/_-]?(read)?[\/_-]?([a-z0-9])?(\.html?|\/)?$/i'                                                                                                              =>      'misc.php?action=$1$2&csrf_token=$3', 
     56        '/^(mark|rules)[\/_-]?(read)?[\/_-]?([a-z0-9]?)(\.html?|\/)?$/i'                                                                                                              =>      'misc.php?action=$1$2&csrf_token=$3', 
    5757        '/^mark[\/_-](forum)[\/_-]?([0-9]+)[\/_-](read)[\/_-]([a-z0-9]+)(\.html?|\/)?$/i'                                                                               =>      'misc.php?action=markforumread&fid=$2&csrf_token=$4', 
    5858        '/^help[\/_-]([a-z]+)(\.html?|\/)?$/i'                                                                                                                                                                  =>      'help.php?section=$1', 
  • branches/punbb-1.3-dev/upload/include/url/Default.php

    r1556 r1557  
    3636        'delete_user'                                   =>      'profile.php?action=delete_user&id=$1', 
    3737        'delete'                                                =>      'delete.php?id=$1', 
    38         'delete_avatar'                                 =>      'profile.php?action=delete_avatar&id=$1', 
     38        'delete_avatar'                                 =>      'profile.php?action=delete_avatar&id=$1&csrf_token=$2', 
    3939        'edit'                                                  =>      'edit.php?id=$1', 
    4040        'email'                                                 =>      'misc.php?email=$1', 
  • branches/punbb-1.3-dev/upload/include/url/File_based.php

    r1556 r1557  
    3838        'delete_user'                                   =>      'delete-user$1.html', 
    3939        'delete'                                                =>      'delete$1.html', 
    40         'delete_avatar'                                 =>      'delete-avatar$1.html', 
     40        'delete_avatar'                                 =>      'delete-avatar$1-$2.html', 
    4141        'edit'                                                  =>      'edit$1.html', 
    4242        'email'                                                 =>      'email$1.html', 
  • branches/punbb-1.3-dev/upload/include/url/File_based_(fancy).php

    r1556 r1557  
    3838        'delete_user'                                   =>      'delete-user$1.html', 
    3939        'delete'                                                =>      'delete$1.html', 
    40         'delete_avatar'                                 =>      'delete-avatar$1.html', 
     40        'delete_avatar'                                 =>      'delete-avatar$1-$2.html', 
    4141        'edit'                                                  =>      'edit$1.html', 
    4242        'email'                                                 =>      'email$1.html', 
  • branches/punbb-1.3-dev/upload/include/url/Folder_based.php

    r1556 r1557  
    3535        'change_password_key'                   =>      'change/password/$1/$2/', 
    3636        'delete'                                                =>      'delete/$1/', 
    37         'delete_avatar'                                 =>      'delete/avatar/$1/', 
     37        'delete_avatar'                                 =>      'delete/avatar/$1/$2/', 
    3838        'delete_user'                                   =>      'delete/user/$1/', 
    3939        'edit'                                                  =>      'edit/$1/', 
  • branches/punbb-1.3-dev/upload/include/url/Folder_based_(fancy).php

    r1556 r1557  
    3535        'change_password_key'                   =>      'change/password/$1/$2/', 
    3636        'delete'                                                =>      'delete/$1/', 
    37         'delete_avatar'                                 =>      'delete/avatar/$1/', 
     37        'delete_avatar'                                 =>      'delete/avatar/$1/$2/', 
    3838        'delete_user'                                   =>      'delete/user/$1/', 
    3939        'edit'                                                  =>      'edit/$1/',