spip / SPIP

config/ecran_securite.php

Braces +80 added lines, -46 removed lines

@@ -14,8 +14,9 @@ 
 /*
  * Test utilisateur
  */
-if (isset($_GET['test_ecran_securite']))
+if (isset($_GET['test_ecran_securite'])) {
 	$ecran_securite_raison = 'test '._ECRAN_SECURITE;
+}
 
 /*
  * Monitoring
@@ -60,18 +61,21 @@ 
  * (sauf pour id_table, qui n'est pas numérique jusqu'à [5743])
  * (id_base est une variable de la config des widgets de WordPress)
  */
-foreach ($_GET as $var => $val)
+foreach ($_GET as $var => $val) {
 	if ($_GET[$var] and strncmp($var, "id_", 3) == 0
 	and !in_array($var, array('id_table', 'id_base')))
 		$_GET[$var] = is_array($_GET[$var])?@array_map('intval', $_GET[$var]):intval($_GET[$var]);
-foreach ($_POST as $var => $val)
+}
+foreach ($_POST as $var => $val) {
 	if ($_POST[$var] and strncmp($var, "id_", 3) == 0
 	and !in_array($var, array('id_table', 'id_base')))
 		$_POST[$var] = is_array($_POST[$var])?@array_map('intval', $_POST[$var]):intval($_POST[$var]);
-foreach ($GLOBALS as $var => $val)
+}
+foreach ($GLOBALS as $var => $val) {
 	if ($GLOBALS[$var] and strncmp($var, "id_", 3) == 0
 	and !in_array($var, array('id_table', 'id_base')))
 		$GLOBALS[$var] = is_array($GLOBALS[$var])?@array_map('intval', $GLOBALS[$var]):intval($GLOBALS[$var]);
+}
 
 /*
  * Interdit la variable $cjpeg_command, qui était utilisée sans
@@ -83,11 +87,13 @@ 
  * Contrôle de quelques variables (XSS)
  */
 foreach(array('lang', 'var_recherche', 'aide', 'var_lang_r', 'lang_r', 'var_ajax_ancre', 'nom_fichier') as $var) {
-	if (isset($_GET[$var]))
-		$_REQUEST[$var] = $GLOBALS[$var] = $_GET[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_GET[$var]);
-	if (isset($_POST[$var]))
-		$_REQUEST[$var] = $GLOBALS[$var] = $_POST[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_POST[$var]);
-}
+	if (isset($_GET[$var])) {
+			$_REQUEST[$var] = $GLOBALS[$var] = $_GET[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_GET[$var]);
+	}
+	if (isset($_POST[$var])) {
+			$_REQUEST[$var] = $GLOBALS[$var] = $_POST[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_POST[$var]);
+	}
+	}
 
 /*
  * Filtre l'accès à spip_acces_doc (injection SQL en 1.8.2x)
@@ -101,41 +107,49 @@ 
  */
 if (isset($_REQUEST['mode']) and isset($_REQUEST['page'])
 and !in_array($_REQUEST['mode'], array("6forum", "1comite"))
-and $_REQUEST['page'] == "identifiants")
+and $_REQUEST['page'] == "identifiants") {
 	$ecran_securite_raison = "identifiants";
+}
 
 /*
  * Agenda joue à l'injection php
  */
 if (isset($_REQUEST['partie_cal'])
-and $_REQUEST['partie_cal'] !== htmlentities((string)$_REQUEST['partie_cal']))
+and $_REQUEST['partie_cal'] !== htmlentities((string)$_REQUEST['partie_cal'])) {
 	$ecran_securite_raison = "partie_cal";
+}
 if (isset($_REQUEST['echelle'])
-and $_REQUEST['echelle'] !== htmlentities((string)$_REQUEST['echelle']))
+and $_REQUEST['echelle'] !== htmlentities((string)$_REQUEST['echelle'])) {
 	$ecran_securite_raison = "echelle";
+}
 
 /*
  * Espace privé
  */
 if (isset($_REQUEST['exec'])
-and !preg_match(',^[\w-]+$,', (string)$_REQUEST['exec']))
+and !preg_match(',^[\w-]+$,', (string)$_REQUEST['exec'])) {
 	$ecran_securite_raison = "exec";
+}
 if (isset($_REQUEST['cherche_auteur'])
-and preg_match(',[<],', (string)$_REQUEST['cherche_auteur']))
+and preg_match(',[<],', (string)$_REQUEST['cherche_auteur'])) {
 	$ecran_securite_raison = "cherche_auteur";
+}
 if (isset($_REQUEST['exec'])
 and $_REQUEST['exec'] == 'auteurs'
-and preg_match(',[<],', (string)$_REQUEST['recherche']))
+and preg_match(',[<],', (string)$_REQUEST['recherche'])) {
 	$ecran_securite_raison = "recherche";
+}
 if (isset($_REQUEST['exec'])
 and $_REQUEST['exec'] == 'info_plugin'
-and preg_match(',[<],', (string)$_REQUEST['plugin']))
+and preg_match(',[<],', (string)$_REQUEST['plugin'])) {
 	$ecran_securite_raison = "plugin";
+}
 if (isset($_REQUEST['exec'])
 and $_REQUEST['exec'] == 'puce_statut'
 and isset($_REQUEST['id'])
-and !intval($_REQUEST['id']))
+and !intval($_REQUEST['id'])) {
 	$ecran_securite_raison = "puce_statut";
+}
 if (isset($_REQUEST['action'])
 and $_REQUEST['action'] == 'configurer') {
 	if (@file_exists('inc_version.php')
@@ -160,21 +174,24 @@ 
 	@get_magic_quotes_gpc() ?
 		stripslashes(serialize($_REQUEST)) : serialize($_REQUEST),
 	chr(0)
-) !== false)
+) !== false) {
 	$ecran_securite_raison = "%00";
+}
 
 /*
  * Bloque les requêtes fond=formulaire_
  */
 if (isset($_REQUEST['fond'])
-and preg_match(',^formulaire_,i', $_REQUEST['fond']))
+and preg_match(',^formulaire_,i', $_REQUEST['fond'])) {
 	$ecran_securite_raison = "fond=formulaire_";
+}
 
 /*
  * Bloque les requêtes du type ?GLOBALS[type_urls]=toto (bug vieux php)
  */
-if (isset($_REQUEST['GLOBALS']))
+if (isset($_REQUEST['GLOBALS'])) {
 	$ecran_securite_raison = "GLOBALS[GLOBALS]";
+}
 
 /*
  * Bloque les requêtes des bots sur:
@@ -185,29 +202,34 @@ 
 	(isset($_REQUEST['echelle']) and isset($_REQUEST['partie_cal']) and isset($_REQUEST['type']))
 	or (strpos((string)$_SERVER['REQUEST_URI'], 'debut_') and preg_match(',[?&]debut_.*&debut_,', (string)$_SERVER['REQUEST_URI']))
 )
-)
+) {
 	$ecran_securite_raison = "robot agenda/double pagination";
+}
 
 /*
  * Bloque une vieille page de tests de CFG (<1.11)
  * Bloque un XSS sur une page inexistante
  */
 if (isset($_REQUEST['page'])) {
-	if ($_REQUEST['page'] == 'test_cfg')
-		$ecran_securite_raison = "test_cfg";
-	if ($_REQUEST['page'] !== htmlspecialchars((string)$_REQUEST['page']))
-		$ecran_securite_raison = "xsspage";
+	if ($_REQUEST['page'] == 'test_cfg') {
+			$ecran_securite_raison = "test_cfg";
+	}
+	if ($_REQUEST['page'] !== htmlspecialchars((string)$_REQUEST['page'])) {
+			$ecran_securite_raison = "xsspage";
+	}
 	if ($_REQUEST['page'] == '404'
-	and isset($_REQUEST['erreur']))
-		$ecran_securite_raison = "xss404";
-}
+	and isset($_REQUEST['erreur'])) {
+			$ecran_securite_raison = "xss404";
+	}
+	}
 
 /*
  * XSS par array
  */
-foreach (array('var_login') as $var)
-if (isset($_REQUEST[$var]) and is_array($_REQUEST[$var]))
+foreach (array('var_login') as $var) {
+    if (isset($_REQUEST[$var]) and is_array($_REQUEST[$var]))
 	$ecran_securite_raison = "xss ".$var;
+}
 
 /*
  * Parade antivirale contre un cheval de troie
@@ -217,18 +239,21 @@ 
 	function tmp_lkojfghx2($a = 0, $b = 0, $c = 0, $d = 0) {
 		// si jamais on est arrivé ici sur une erreur php
 		// et qu'un autre gestionnaire d'erreur est défini, l'appeller
-		if ($b && $GLOBALS['tmp_xhgfjokl'])
-			call_user_func($GLOBALS['tmp_xhgfjokl'], $a, $b, $c, $d);
+		if ($b && $GLOBALS['tmp_xhgfjokl']) {
+					call_user_func($GLOBALS['tmp_xhgfjokl'], $a, $b, $c, $d);
+		}
 	}
 }
-if (isset($_POST['tmp_lkojfghx3']))
+if (isset($_POST['tmp_lkojfghx3'])) {
 	$ecran_securite_raison = "gumblar";
+}
 
 /*
  * Outils XML mal sécurisés < 2.0.9
  */
-if (isset($_REQUEST['transformer_xml']))
+if (isset($_REQUEST['transformer_xml'])) {
 	$ecran_securite_raison = "transformer_xml";
+}
 
 /*
  * Outils XML mal sécurisés again
@@ -246,11 +271,13 @@ 
  * Sauvegarde mal securisée < 2.0.9
  */
 if (isset($_REQUEST['nom_sauvegarde'])
-and strstr((string)$_REQUEST['nom_sauvegarde'], '/'))
+and strstr((string)$_REQUEST['nom_sauvegarde'], '/')) {
 	$ecran_securite_raison = 'nom_sauvegarde manipulee';
+}
 if (isset($_REQUEST['znom_sauvegarde'])
-and strstr((string)$_REQUEST['znom_sauvegarde'], '/'))
+and strstr((string)$_REQUEST['znom_sauvegarde'], '/')) {
 	$ecran_securite_raison = 'znom_sauvegarde manipulee';
+}
 
 
 /*
@@ -258,8 +285,9 @@ 
  * on vérifie 'page' pour ne pas bloquer ... drupal
  */
 if (isset($_REQUEST['op']) and isset($_REQUEST['page'])
-and $_REQUEST['op'] !== preg_replace('/[^\-\w]/', '', $_REQUEST['op']))
+and $_REQUEST['op'] !== preg_replace('/[^\-\w]/', '', $_REQUEST['op'])) {
 	$ecran_securite_raison = 'op';
+}
 
 /*
  * Forms & Table ne se méfiait pas assez des uploads de fichiers
@@ -267,8 +295,9 @@ 
 if (count($_FILES)){
 	foreach($_FILES as $k => $v){
 		 if (preg_match(',^fichier_\d+$,', $k)
-		 and preg_match(',\.php,i', $v['name']))
-		 	unset($_FILES[$k]);
+		 and preg_match(',\.php,i', $v['name'])) {
+		 		 	unset($_FILES[$k]);
+		 }
 	}
 }
 /*
@@ -285,21 +314,24 @@ 
  * reinstall=oui un peu trop permissif
  */
 if (isset($_REQUEST['reinstall'])
-and $_REQUEST['reinstall'] == 'oui')
+and $_REQUEST['reinstall'] == 'oui') {
 	$ecran_securite_raison = 'reinstall=oui';
+}
 
 /*
  * Échappement xss referer
  */
-if (isset($_SERVER['HTTP_REFERER']))
+if (isset($_SERVER['HTTP_REFERER'])) {
 	$_SERVER['HTTP_REFERER'] = strtr($_SERVER['HTTP_REFERER'], '<>"\'', '[]##');
+}
 
 
 /*
  * Echappement HTTP_X_FORWARDED_HOST
  */
-if (isset($_SERVER['HTTP_X_FORWARDED_HOST']))
+if (isset($_SERVER['HTTP_X_FORWARDED_HOST'])) {
 	$_SERVER['HTTP_X_FORWARDED_HOST'] = strtr($_SERVER['HTTP_X_FORWARDED_HOST'], "<>?\"\{\}\$'` \r\n", '____________');
+}
 
 
 /*
@@ -307,9 +339,10 @@ 
  */
 if (strpos($_SERVER['REQUEST_URI'], "ecrire/") !== false){
 	$zzzz = implode("", array_keys($_REQUEST));
-	if (strlen($zzzz) != strcspn($zzzz, '<>"\''))
-		$ecran_securite_raison = 'Cle incorrecte en $_REQUEST';
-}
+	if (strlen($zzzz) != strcspn($zzzz, '<>"\'')) {
+			$ecran_securite_raison = 'Cle incorrecte en $_REQUEST';
+	}
+	}
 
 /*
  * Injection par connect
@@ -358,8 +391,9 @@ 
 /*
  * Bloque les bots quand le load déborde
  */
-if (!defined('_ECRAN_SECURITE_LOAD'))
+if (!defined('_ECRAN_SECURITE_LOAD')) {
 	define('_ECRAN_SECURITE_LOAD', 4);
+}
 
 if (
 	defined('_ECRAN_SECURITE_LOAD')

prive/formulaires/editer_auteur.php

Braces +6 added lines, -2 removed lines

@@ -351,11 +351,15 @@
 		$erreurs = array();
 		$erreurs = auteur_reset_password($res['id_auteur'], $erreurs);
 		if (isset($erreurs['message_ok'])) {
-			if (!isset($res['message_ok'])) $res['message_ok'] = '';
+			if (!isset($res['message_ok'])) {
+			    $res['message_ok'] = '';
+			}
 			$res['message_ok'] = trim($res['message_ok'] . ' ' . $erreurs['message_ok']);
 		}
 		if (isset($erreurs['message_erreur']) and $erreurs['message_erreur']) {
-			if (!isset($res['message_erreur'])) $res['message_erreur'] = '';
+			if (!isset($res['message_erreur'])) {
+			    $res['message_erreur'] = '';
+			}
 			$res['message_erreur'] = trim($res['message_erreur'] . ' ' . $erreurs['message_erreur']);
 		}
 	}

ecrire/maj/v019.php

Braces +3 added lines, -1 removed lines

@@ -512,12 +512,14 @@
 	)
 );
 
-if ($GLOBALS['meta']['version_installee'] > 1.950) // 1.950 lisait un bug dans auxiliaires.php corrige a present
+if ($GLOBALS['meta']['version_installee'] > 1.950) {
+    // 1.950 lisait un bug dans auxiliaires.php corrige a present
 {
 	$GLOBALS['maj'][1955] = array(
 		array('sql_alter', "TABLE spip_urls CHANGE `maj` date DATETIME DEFAULT '0000-00-00 00:00:00' NOT NULL")
 	);
 }
+}
 
 // la mise a jour vers 1.938 contient une erreur
 // il faut supprimer l'autoincrement avant de supprimer la PRIMARY KEY

ecrire/genie/maintenance.php

Braces +3 added lines, -1 removed lines

@@ -71,10 +71,12 @@
 			foreach ($GLOBALS[$com] as $table => $desc) {
 				if (!sql_select('*', $table, '', '', '', 1)
 					and !defined('spip_interdire_cache')
-				) # cas "LOST CONNECTION"
+				) {
+				    # cas "LOST CONNECTION"
 				{
 					$crash[] = $table;
 				}
+				}
 			}
 		}
 		#$crash[] = 'test';

ecrire/plugins/afficher_plugin.php

Braces +3 added lines, -1 removed lines

@@ -102,10 +102,12 @@
 
 	// si le plugin CFG est la, l'essayer
 	if (defined('_DIR_PLUGIN_CFG')) {
-		if (include_spip('inc/cfg')) // test CFG version >= 1.0.5
+		if (include_spip('inc/cfg')) {
+		    // test CFG version >= 1.0.5
 		{
 			if ($cfg = icone_lien_cfg("$dir$nom", "cfg")) {
 				return "<div class='cfg_link'>$cfg</div>";
+		}
 			}
 		}
 	}

ecrire/public/cacher.php

Braces +3 added lines, -1 removed lines

@@ -187,9 +187,11 @@
 	// Sinon comparer l'age du fichier a sa duree de cache
 	$duree = intval($page['entetes']['X-Spip-Cache']);
 	$cache_mark = (isset($GLOBALS['meta']['cache_mark']) ? $GLOBALS['meta']['cache_mark'] : 0);
-	if ($duree == 0)  #CACHE{0}
+	if ($duree == 0) {
+	    #CACHE{0}
 	{
 		return -1;
+	}
 	} // sauf pour les bots, qui utilisent toujours le cache
 	else {
 		if ((!_IS_BOT and $date + $duree < $now)

ecrire/public/balises.php

Braces +1 added lines, -2 removed lines

@@ -2884,8 +2884,7 @@
 	$_const = interprete_argument_balise(1, $p);
 	if (!strlen($_const)) {
 		$p->code = "''";
-	}
-	else {
+	} else {
 		$p->code = "(defined($_const)?constant($_const):'')";
 	}
 	$p->interdire_scripts = false;

ecrire/public/evaluer_page.php

Braces +2 added lines, -4 removed lines

@@ -65,12 +65,10 @@
 			$code = trim(highlight_string($code,true));
 			erreur_squelette("L".$erreur['line'].": ".$erreur['message']."<br />".$code,array($page['source'],'',$erreur['file'],'',$GLOBALS['spip_lang']));
 			$page['texte'] = "<!-- Erreur -->";
-		}
-		else {
+		} else {
 			$page['texte'] = ob_get_contents();
 		}
-	}
-	catch (Exception $e){
+	} catch (Exception $e){
 		$code = $page['texte'];
 		$GLOBALS['numero_ligne_php'] = 1;
 		if (!function_exists('numerote_ligne_php')){

ecrire/public/debusquer.php

Braces +6 added lines, -2 removed lines

@@ -362,9 +362,11 @@ 
 			if (!preg_match('/^(.*)(<\?.*\?>)(.*)$/s', $v[0], $r)) {
 				$y = substr_count($v[0], "\n");
 			} else {
-				if ($v[1][0] == '#') // balise dynamique
+				if ($v[1][0] == '#') {
+				    // balise dynamique
 				{
 					$incl = $GLOBALS['debug_objets']['resultat'][$v[2]];
+				}
 				} else // inclusion
 				{
 					$incl = $GLOBALS['debug_objets']['squelette'][trouve_squelette_inclus($v[0])];
@@ -397,12 +399,14 @@ 
 	preg_match('/include\(.(.*).php3?.\);/', $script, $reg);
 	// si le script X.php n'est pas ecrire/public.php
 	// on suppose qu'il prend le squelette X.html (pas sur, mais y a pas mieux)
-	if ($reg[1] == 'ecrire/public') // si c'est bien ecrire/public on cherche le param 'fond'
+	if ($reg[1] == 'ecrire/public') {
+	    // si c'est bien ecrire/public on cherche le param 'fond'
 	{
 		if (!preg_match("/'fond' => '([^']*)'/", $script, $reg)) // a defaut on cherche le param 'page'
 		{
 			if (!preg_match("/'param' => '([^']*)'/", $script, $reg)) {
 				$reg[1] = "inconnu";
+	}
 			}
 		}
 	}