- utiliser une fonction lien_gerer__oups() pour stocker/set/reset/request la valeur du oups, ce qui permet de la stocker dans une static pour la passer de traiter() à charger() plutot que dans une request()
- le oups sont accompagnes de l'id_auteur/time/arguments du formulaires, et encodés/signés via la fonction encoder_contexte_ajax() qui utilise le secret_du_site()
- au decodage, on verifie que id_auteur/time/arguments sont bon et on verifie egalement la structure des donnees dans le oups en vidant tout ce qui est suspect

Refs: https://git.spip.net/spip-team/securite/issues/4836

Refs: spip-contrib-extensions/mailsubscribers#23

Refs: spip/medias#4905

cerdic a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

fix: Éviter un échec lors de la sanitization d'un logo svg si il n'as pas les bon droits lors de la migration des logos

Refs: #5287

Jack31 a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

Suppression d’un encart proposant un script javascript dans la page de Suivi du site,
qui appelle une page distrib.html supprimée depuis SPIP 3.2.

Refs: #5285

b_b a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

Fix: #5189

cerdic a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

fix: lorsque le visiteur n'est pas amené à voir les erreurs de squelette, il faut les loger pour permettre à un webmestre de debug. Particulièrement utile si l'erreur ne se produit que sur une page en visite anonyme...

tofulm a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

Si la boucle retourne plus d’entrées que la liste transmise au critère `par_odre_liste`,
ces éléments seront retournés après ceux de la liste, que l’on souhaite toujours en premier.

Refs: #5273

cerdic a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

fix: collecter correctement les arguments des formulaires insérés dans un modèle + généralisation du traitement des balise dynamiques dans un modèle

Refs: #5016

Si vraiment besoin utiliser les préférences du visiteur connecté.

Refs: #5278

Refs: #5274

Refs: #5259

cerdic a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

fix: l'elevation de statut d'un auteur ou le changement de son mot de passe ou email ne peuvent pas se faire via une XMLHttpRequest pour eviter toute manipulation malicieuse d'un auteur via une XSS

cerdic a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

fix: #HTTP_HEADER{} avec quote dans la valeur du header provoquait l'envoi d'un quote echappe, ce qui n'est pas le resultat attendu

cerdic a rédigé il y a 2 ans et marcimat a validé il y a 2 ans

fix: refuser_traiter_formulaire_ajax() ne fonctionnait pas quand un form contenait un element avec un name ou id 'submit' + ajouter un feedback visuel en cas de resubmit (on secoue un peu le formulaire)

Refs: spip-contrib-extensions/formidable#119