Skip to:
Content

BuddyPress.org

Changeset 12338


Ignore:
Timestamp:
02/20/2019 03:06:18 PM (6 years ago)
Author:
boonebgorges
Message:

Improve character escaping in Messages AJAX.

Location:
trunk/src
Files:
4 edited

Legend:

Unmodified
Added
Removed

  • trunk/src/bp-core/bp-core-avatars.php

    r11858 r12338  
    836836    if ( bp_core_delete_existing_avatar( array( 'item_id' => $avatar_data['item_id'], 'object' => $avatar_data['object'] ) ) ) {
    837837        $return = array(
    838             'avatar' => html_entity_decode( bp_core_fetch_avatar( array(
     838            'avatar' => esc_url( bp_core_fetch_avatar( array(
    839839                'object'  => $avatar_data['object'],
    840840                'item_id' => $avatar_data['item_id'],
    … …  
    12741274        } else {
    12751275            $return = array(
    1276                 'avatar' => html_entity_decode( bp_core_fetch_avatar( array(
     1276                'avatar' => esc_url( bp_core_fetch_avatar( array(
    12771277                    'object'  => $avatar_data['object'],
    12781278                    'item_id' => $avatar_data['item_id'],
    … …  
    13311331    if ( bp_core_avatar_handle_crop( $r ) ) {
    13321332        $return = array(
    1333             'avatar' => html_entity_decode( bp_core_fetch_avatar( array(
     1333            'avatar' => esc_url( bp_core_fetch_avatar( array(
    13341334                'object'  => $avatar_data['object'],
    13351335                'item_id' => $avatar_data['item_id'],

  • trunk/src/bp-templates/bp-legacy/buddypress/assets/_attachments/avatars/crop.php

    r12082 r12338  
    1515<script id="tmpl-bp-avatar-item" type="text/html">
    1616    <div id="avatar-to-crop">
    17         <img src="{{data.url}}"/>
     17        <img src="{{{data.url}}}"/>
    1818    </div>
    1919    <div class="avatar-crop-management">
    2020        <div id="avatar-crop-pane" class="avatar" style="width:{{data.full_w}}px; height:{{data.full_h}}px">
    21             <img src="{{data.url}}" id="avatar-crop-preview"/>
     21            <img src="{{{data.url}}}" id="avatar-crop-preview"/>
    2222        </div>
    2323        <div id="avatar-crop-actions">

  • trunk/src/bp-templates/bp-nouveau/buddypress/assets/_attachments/avatars/crop.php

    r12156 r12338  
    1212<script id="tmpl-bp-avatar-item" type="text/html">
    1313    <div id="avatar-to-crop">
    14         <img src="{{data.url}}"/>
     14        <img src="{{{data.url}}}"/>
    1515    </div>
    1616    <div class="avatar-crop-management">
    1717        <div id="avatar-crop-pane" class="avatar" style="width:{{data.full_w}}px; height:{{data.full_h}}px">
    18             <img src="{{data.url}}" id="avatar-crop-preview"/>
     18            <img src="{{{data.url}}}" id="avatar-crop-preview"/>
    1919        </div>
    2020        <div id="avatar-crop-actions">

  • trunk/src/bp-templates/bp-nouveau/includes/messages/ajax.php

    r12175 r12338  
    163163    $reply = array(
    164164        'id'            => bp_get_the_thread_message_id(),
    165         'content'       => html_entity_decode( do_shortcode( bp_get_the_thread_message_content() ) ),
     165        'content'       => do_shortcode( bp_get_the_thread_message_content() ),
    166166        'sender_id'     => bp_get_the_thread_message_sender_id(),
    167167        'sender_name'   => esc_html( bp_get_the_thread_message_sender_name() ),
    168168        'sender_link'   => bp_get_the_thread_message_sender_link(),
    169         'sender_avatar' => htmlspecialchars_decode( bp_core_fetch_avatar( array(
     169        'sender_avatar' => esc_url( bp_core_fetch_avatar( array(
    170170            'item_id' => bp_get_the_thread_message_sender_id(),
    171171            'object'  => 'user',
    … …  
    270270            'id'            => bp_get_message_thread_id(),
    271271            'message_id'    => (int) $last_message_id,
    272             'subject'       => html_entity_decode( bp_get_message_thread_subject() ),
    273             'excerpt'       => html_entity_decode( bp_get_message_thread_excerpt() ),
    274             'content'       => html_entity_decode( do_shortcode( bp_get_message_thread_content() ) ),
     272            'subject'       => strip_tags( bp_get_message_thread_subject() ),
     273            'excerpt'       => strip_tags( bp_get_message_thread_excerpt() ),
     274            'content'       => do_shortcode( bp_get_message_thread_content() ),
    275275            'unread'        => bp_message_thread_has_unread(),
    276276            'sender_name'   => bp_core_get_user_displayname( $messages_template->thread->last_sender_id ),
    277277            'sender_link'   => bp_core_get_userlink( $messages_template->thread->last_sender_id, false, true ),
    278             'sender_avatar' => htmlspecialchars_decode( bp_core_fetch_avatar( array(
     278            'sender_avatar' => esc_url( bp_core_fetch_avatar( array(
    279279                'item_id' => $messages_template->thread->last_sender_id,
    280280                'object'  => 'user',
    … …  
    292292            foreach ( $messages_template->thread->recipients as $recipient ) {
    293293                $threads->threads[ $i ]['recipients'][] = array(
    294                     'avatar' => htmlspecialchars_decode( bp_core_fetch_avatar( array(
     294                    'avatar' => esc_url( bp_core_fetch_avatar( array(
    295295                        'item_id' => $recipient->user_id,
    296296                        'object'  => 'user',
    … …  
    430430        $thread->thread = array(
    431431            'id'      => bp_get_the_thread_id(),
    432             'subject' => html_entity_decode( bp_get_the_thread_subject() ),
     432            'subject' => strip_tags( bp_get_the_thread_subject() ),
    433433        );
    434434
    … …  
    436436            foreach ( $thread_template->thread->recipients as $recipient ) {
    437437                $thread->thread['recipients'][] = array(
    438                     'avatar' => htmlspecialchars_decode( bp_core_fetch_avatar( array(
     438                    'avatar' => esc_url( bp_core_fetch_avatar( array(
    439439                        'item_id' => $recipient->user_id,
    440440                        'object'  => 'user',
    … …  
    457457        $thread->messages[ $i ] = array(
    458458            'id'            => bp_get_the_thread_message_id(),
    459             'content'       => html_entity_decode( do_shortcode( bp_get_the_thread_message_content() ) ),
     459            'content'       => do_shortcode( bp_get_the_thread_message_content() ),
    460460            'sender_id'     => bp_get_the_thread_message_sender_id(),
    461461            'sender_name'   => esc_html( bp_get_the_thread_message_sender_name() ),
    462462            'sender_link'   => bp_get_the_thread_message_sender_link(),
    463             'sender_avatar' => htmlspecialchars_decode( bp_core_fetch_avatar( array(
     463            'sender_avatar' => esc_url( bp_core_fetch_avatar( array(
    464464                'item_id' => bp_get_the_thread_message_sender_id(),
    465465                'object'  => 'user',
Note: See TracChangeset for help on using the changeset viewer.