spip
/
spip
31
14
Fork 18
Code Issues 444 Pull Requests 21 Projects Releases Wiki Activity

revert de r17608 et r17609 : Il ne faut pas utiliser intval() dans une requete SQL comme le disait

Browse Source 
le message de r13858

C'est a sql_quote de se debrouiller pour deviner si il doit ecrire '' ou 0 quand il reçoit un null si jamais son SQL ne tolere pas l'un a la place de l'autre.
svn/root/tags/spip-3.0.0-alpha1
Cerdic 13 years ago
parent 3524647a4d
commit e9bd333651
9 changed files with 14 additions and 14 deletions
Show Stats Download Patch File Download Diff File

2
ecrire/action/editer_article.php
Unescape Escape View File

@ -271,7 +271,7 @@ function editer_article_heritage($id_article, $id_rubrique, $statut, $champs, $c
// changer aussi son secteur et sa langue (si heritee)
if (isset($champs['id_rubrique'])) {
$row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".intval($champs['id_rubrique']));
$row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".sql_quote($champs['id_rubrique']));
$langue = $row_rub['lang'];
$champs['id_secteur'] = $row_rub['id_secteur'];

2
ecrire/action/editer_objet.php
Unescape Escape View File

@ -362,7 +362,7 @@ function editer_objet_heritage($objet, $id, $id_rubrique, $statut, $champs, $con
// changer aussi son secteur et sa langue (si heritee)
if (isset($champs['id_rubrique'])) {
$row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".intval($champs['id_rubrique']));
$row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".sql_quote($champs['id_rubrique']));
$langue = $row_rub['lang'];
if (isset($desc['field']['id_secteur']))

2
ecrire/action/instituer_article.php
Unescape Escape View File

@ -30,7 +30,7 @@ function action_instituer_article_dist($arg=null) {
// si on passe un statut_old, le controler
// http://trac.rezo.net/trac/spip/ticket/1932
if ($old = _request('statut_old')
AND $s = sql_fetsel('statut', 'spip_articles', 'id_article='.intval($id_article))
AND $s = sql_fetsel('statut', 'spip_articles', 'id_article='.sql_quote($id_article))
AND $s['statut'] != $old)
return;

2
ecrire/exec/articles_tous.php
Unescape Escape View File

@ -114,7 +114,7 @@ function texte_articles_tous(&$sel_lang, $flag_trad, $aff_art,$spip_lang_dir){
if (autoriser('publierdans', 'rubrique', 0))
$result = sql_select("id_article, titre, statut, id_rubrique, lang, id_trad, date_modif", "spip_articles", "", "", "date DESC");
else
$result = sql_select("A.id_article, A.titre, A.statut, A.id_rubrique, A.lang, A.id_trad, A.date_modif", "spip_articles AS A LEFT JOIN spip_auteurs_liens AS L ON (L.objet='article' AND A.id_article=L.id_objet)", "A.statut = 'publie' OR A.statut = 'prop' OR (A.statut = 'prepa' AND L.id_auteur=" . intval($GLOBALS['visiteur_session']['id_auteur']) . ")", "id_article", "A.date DESC");
$result = sql_select("A.id_article, A.titre, A.statut, A.id_rubrique, A.lang, A.id_trad, A.date_modif", "spip_articles AS A LEFT JOIN spip_auteurs_liens AS L ON (L.objet='article' AND A.id_article=L.id_objet)", "A.statut = 'publie' OR A.statut = 'prop' OR (A.statut = 'prepa' AND L.id_auteur=" . sql_quote($GLOBALS['visiteur_session']['id_auteur']) . ")", "id_article", "A.date DESC");
while($row = sql_fetch($result)) {
$id_rubrique=$row['id_rubrique'];

4
ecrire/inc/article_select.php
Unescape Escape View File

@ -60,7 +60,7 @@ function inc_article_select_dist($id_article, $id_rubrique=0, $lier_trad=0) {
// recuperer le secteur, pour affecter les bons champs extras
if (!$row['id_secteur']) {
$row_rub = sql_getfetsel("id_secteur", "spip_rubriques", "id_rubrique=" . intval($id_rubrique));
$row_rub = sql_getfetsel("id_secteur", "spip_rubriques", "id_rubrique=" . sql_quote($id_rubrique));
$row['id_secteur'] = $row_rub;
}
@ -74,7 +74,7 @@ function inc_article_select_dist($id_article, $id_rubrique=0, $lier_trad=0) {
// http://doc.spip.org/@article_select_trad
function article_select_trad($lier_trad, $id_rubrique=0) {
// Recuperer les donnees de l'article original
$row = sql_fetsel("*", "spip_articles", "id_article=".intval($lier_trad));
$row = sql_fetsel("*", "spip_articles", "id_article=$lier_trad");
if ($row) {
$row['titre'] = filtrer_entites(_T('info_nouvelle_traduction')).' '.$row["titre"];

6
ecrire/inc/autoriser.php
Unescape Escape View File

@ -273,7 +273,7 @@ function autoriser_rubrique_supprimer_dist($faire, $type, $id, $qui, $opt) {
// = ou statut 'prop,prepa' et $qui est auteur
// http://doc.spip.org/@autoriser_article_modifier_dist
function autoriser_article_modifier_dist($faire, $type, $id, $qui, $opt) {
$r = sql_fetsel("id_rubrique,statut", "spip_articles", "id_article=".intval($id));
$r = sql_fetsel("id_rubrique,statut", "spip_articles", "id_article=".sql_quote($id));
include_spip('inc/auth'); // pour auteurs_article si espace public
@ -381,7 +381,7 @@ function autoriser_auteur_previsualiser_dist($faire, $type, $id, $qui, $opt) {
if ($qui['statut'] == '0minirezo'
AND !$qui['restreint']) return true;
// "Voir en ligne" si l'auteur a un article publie
$n = sql_fetsel('A.id_article', 'spip_auteurs_liens AS L LEFT JOIN spip_articles AS A ON (L.objet=\'article\' AND L.id_objet=A.id_article)', "A.statut='publie' AND L.id_auteur=".intval($id));
$n = sql_fetsel('A.id_article', 'spip_auteurs_liens AS L LEFT JOIN spip_articles AS A ON (L.objet=\'article\' AND L.id_objet=A.id_article)', "A.statut='publie' AND L.id_auteur=".sql_quote($id));
return $n ? true : false;
}
@ -539,7 +539,7 @@ function autoriser_iconifier_dist($faire,$quoi,$id,$qui,$opts){
if (!$droit AND ($row['statut'] == 'prepa' OR $row['statut'] == 'prop' OR $row['statut'] == 'poubelle')) {
$jointure = table_jointure('auteur', 'article');
if ($droit = sql_fetsel("id_auteur", "spip_$jointure", "id_article=".intval($id) . " AND id_auteur=".intval($connect_id_auteur)))
if ($droit = sql_fetsel("id_auteur", "spip_$jointure", "id_article=".sql_quote($id) . " AND id_auteur=$connect_id_auteur"))
$droit = true;
}

2
ecrire/inc/lien.php
Unescape Escape View File

@ -174,7 +174,7 @@ function traiter_lien_implicite ($ref, $texte='', $pour='url', $connect='')
// dans le cas d'un lien vers un doc, ajouter le type='mime/type'
if ($type == 'document'
AND $mime = sql_getfetsel('mime_type', 'spip_types_documents',
"extension IN (SELECT extension FROM spip_documents where id_document =".intval($id).")",
"extension IN (SELECT extension FROM spip_documents where id_document =".sql_quote($id).")",
'','','','',$connect)
)
$r['mime'] = $mime;

6
ecrire/inc/plonger.php
Unescape Escape View File

@ -31,9 +31,9 @@ function inc_plonger_dist($id_rubrique, $idom="", $list=array(), $col = 1, $excl
$res = sql_select("rub1.id_rubrique, rub1.titre, rub1.id_parent, rub1.lang, rub1.langue_choisie, rub2.id_rubrique AS id_enfant",
"spip_rubriques AS rub1 LEFT JOIN spip_rubriques AS rub2 ON (rub1.id_rubrique = rub2.id_parent)",
"rub1.id_parent = ".intval($id_rubrique)."
AND rub1.id_rubrique!=".intval($exclu)."
AND (rub2.id_rubrique IS NULL OR rub2.id_rubrique!=".intval($exclu).")", "", "0+rub1.titre,rub1.titre");
"rub1.id_parent = ".sql_quote($id_rubrique)."
AND rub1.id_rubrique!=".sql_quote($exclu)."
AND (rub2.id_rubrique IS NULL OR rub2.id_rubrique!=".sql_quote($exclu).")", "", "0+rub1.titre,rub1.titre");
while ($row = sql_fetch($res)) {
if (autoriser('voir','rubrique',$row['id_rubrique'])){

2
ecrire/maj/svn10000.php
Unescape Escape View File

@ -76,7 +76,7 @@ function maj_11431 () {
// mise a jour de ces mots la
if ($res){
while ($r = sql_fetch($res)){
sql_updateq('spip_mots', array('type'=>$r['type']), 'id_mot='.intval($r['id_mot']));
sql_updateq('spip_mots', array('type'=>$r['type']), 'id_mot='.sql_quote($r['id_mot']));
}
}
}

Write Preview
Loading…
Cancel
Save