Skip to content
New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Correção do XSS #385

Open
wants to merge 3 commits into
base: master
Choose a base branch
from
Open
Show file tree
Hide file tree
Changes from all commits
Commits
File filter

Filter by extension

Filter by extension

Conversations
Failed to load comments.
Loading
Jump to
Jump to file
Failed to load files.
Loading
Diff view
Diff view
1 change: 1 addition & 0 deletions src/LogPenWs.php
Original file line number Diff line number Diff line change
Expand Up @@ -22,6 +22,7 @@ class LogPenWs {
/**
* Construtor
*/
// phpcs:ignore PEAR.Functions.ValidDefaultValue.NotAtEnd
public function __construct($config = array(), $wsdl, $options)
{
$this->arrListaMetodos = is_array($config) ? $config : array();
Expand Down
2 changes: 1 addition & 1 deletion src/apensados_selecionar_expedir_procedimento.php
Original file line number Diff line number Diff line change
Expand Up @@ -134,7 +134,7 @@ function inicializar(){
PaginaSEI::getInstance()->fecharHead();
PaginaSEI::getInstance()->abrirBody($strTitulo, 'onload="inicializar();"');
?>
<form id="frmApensadosLista" method="post" action="<?=PaginaSEI::getInstance()->formatarXHTML(SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.$_GET['acao'].'&acao_origem='.$_GET['acao'].'&id_procedimento='.$_GET['id_procedimento']))?>">
<form id="frmApensadosLista" method="post" action="<?=PaginaSEI::getInstance()->formatarXHTML(SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao']).'&acao_origem='.htmlspecialchars($_GET['acao']).'&id_procedimento='.htmlspecialchars($_GET['id_procedimento'])))?>">
<?
//PaginaSEI::getInstance()->montarBarraLocalizacao($strTitulo);
PaginaSEI::getInstance()->montarBarraComandosSuperior($arrComandos);
Expand Down
8 changes: 4 additions & 4 deletions src/bd/PenMetaBD.php
Original file line number Diff line number Diff line change
Expand Up @@ -75,16 +75,16 @@ public function isDriverSuportado(){
$strTableDrive = get_parent_class($this->getObjInfraIBanco());

switch($strTableDrive) {

case 'InfraMySqli':
// Fix para bug de MySQL vers�o inferior ao 5.5 o default engine
// � MyISAM e n�o tem suporte a FOREING KEYS

case 'InfraMySqli': // Fix para bug de MySQL vers�o inferior ao 5.5 o default engine
// � MyISAM e n�o tem suporte a FOREING KEYS
$version = $this->getObjInfraIBanco()->consultarSql('SELECT VERSION() as versao');
$version = $version[0]['versao'];
$arrVersion = explode('.', $version);
if($arrVersion[0].$arrVersion[1] < 56){
$this->getObjInfraIBanco()->executarSql('@SET STORAGE_ENGINE=InnoDB');
}
break;
case 'InfraSqlServer':
case 'InfraOracle':
break;
Expand Down
4 changes: 2 additions & 2 deletions src/pen_expedir_lote_listar.php
Original file line number Diff line number Diff line change
Expand Up @@ -155,7 +155,7 @@
?>

function inicializar(){
if ('<?= $_GET['acao'] ?>'=='serie_selecionar'){
if ('<?= htmlspecialchars($_GET['acao']) ?>'=='serie_selecionar'){
infraReceberSelecao();
document.getElementById('btnFecharSelecao').focus();
}else{
Expand All @@ -178,7 +178,7 @@ function abrirProcesso(link){
$objPaginaSEI->fecharHead();
$objPaginaSEI->abrirBody($strTitulo, 'onload="inicializar();"');
?>
<form id="frmLoteListar" method="post" action="<?= $objSessaoSEI->assinarLink('controlador.php?acao=' . $_GET['acao'] . '&acao_origem=' . $_GET['acao']) ?>">
<form id="frmLoteListar" method="post" action="<?= $objSessaoSEI->assinarLink('controlador.php?acao=' . htmlspecialchars($_GET['acao']) . '&acao_origem=' . htmlspecialchars($_GET['acao'])) ?>">
<?
$objPaginaSEI->montarBarraComandosSuperior($arrComandos);
$objPaginaSEI->abrirAreaDados('4.5em');
Expand Down
10 changes: 5 additions & 5 deletions src/pen_map_hipotese_legal_envio_listar.php
Original file line number Diff line number Diff line change
Expand Up @@ -229,7 +229,7 @@ function inicializar(){
}

function onClickBtnPesquisar(){
document.getElementById('frmAcompanharEstadoProcesso').action='<?php print $objSessao->assinarLink('controlador.php?acao='.$_GET['acao'].'&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_retorno']); ?>';
document.getElementById('frmAcompanharEstadoProcesso').action='<?php print $objSessao->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao']).'&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_retorno'])); ?>';
document.getElementById('frmAcompanharEstadoProcesso').submit();
}

Expand Down Expand Up @@ -257,15 +257,15 @@ function onCLickLinkDelete(url, link) {

function onClickBtnNovo(){

window.location = '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_cadastrar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_origem']); ?>';
window.location = '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_cadastrar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_origem'])); ?>';
}

function onClickBtnAtivar(){

try {

var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_ativar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_ativar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.submit();
}
catch(e){
Expand All @@ -280,7 +280,7 @@ function onClickBtnDesativar(){
try {

var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_desativar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_desativar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.submit();
}
catch(e){
Expand All @@ -299,7 +299,7 @@ function onClickBtnExcluir(){

if(confirm('Confirma a exclus�o de ' + len + ' mapeamento(s) ?')) {
var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_excluir&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_excluir&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.submit();
}
}
Expand Down
16 changes: 8 additions & 8 deletions src/pen_map_hipotese_legal_recebimento_listar.php
Original file line number Diff line number Diff line change
Expand Up @@ -68,7 +68,7 @@

$objPagina->adicionarMensagem(sprintf('%s foi excluido com sucesso.', PEN_PAGINA_TITULO), InfraPagina::$TIPO_MSG_AVISO);

header('Location: '.SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.$_GET['acao_retorno'].'&acao_origem='.$_GET['acao_origem']));
header('Location: '.SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao_retorno']).'&acao_origem='.htmlspecialchars($_GET['acao_origem'])));
exit(0);
}
else {
Expand All @@ -84,7 +84,7 @@

$objPagina->adicionarMensagem('Desativado com sucesso.', InfraPagina::$TIPO_MSG_AVISO);

header('Location: '.SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.$_GET['acao_retorno'].'&acao_origem='.$_GET['acao_origem']));
header('Location: '.SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao_retorno']).'&acao_origem='.htmlspecialchars($_GET['acao_origem'])));
exit(0);
}
else {
Expand All @@ -100,7 +100,7 @@

$objPagina->adicionarMensagem('Ativado com sucesso.', InfraPagina::$TIPO_MSG_AVISO);

header('Location: '.SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.$_GET['acao_retorno'].'&acao_origem='.$_GET['acao_origem']));
header('Location: '.SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao_retorno']).'&acao_origem='.htmlspecialchars($_GET['acao_origem'])));
exit(0);
}
break;
Expand Down Expand Up @@ -261,7 +261,7 @@ function inicializar(){
}

function onClickBtnPesquisar(){
document.getElementById('frmAcompanharEstadoProcesso').action='<?php print $objSessao->assinarLink('controlador.php?acao='.$_GET['acao'].'&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_retorno']); ?>';
document.getElementById('frmAcompanharEstadoProcesso').action='<?php print $objSessao->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao']).'&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_retorno'])); ?>';
document.getElementById('frmAcompanharEstadoProcesso').submit();
}

Expand Down Expand Up @@ -289,15 +289,15 @@ function onCLickLinkDelete(url, link) {

function onClickBtnNovo(){

window.location = '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_cadastrar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_origem']); ?>';
window.location = '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_cadastrar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_origem'])); ?>';
}

function onClickBtnAtivar(){

try {

var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_ativar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_ativar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.submit();
}
catch(e){
Expand All @@ -312,7 +312,7 @@ function onClickBtnDesativar(){
try {

var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_desativar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_desativar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.submit();
}
catch(e){
Expand All @@ -332,7 +332,7 @@ function onClickBtnExcluir(){
if(confirm('Confirma a exclus�o de ' + len + ' mapeamento(s) ?')) {

var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_excluir&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.attr('action', '<?php print $objSessao->assinarLink('controlador.php?acao='.PEN_RECURSO_BASE.'_excluir&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.PEN_RECURSO_BASE.'_listar'); ?>');
form.submit();
}
}
Expand Down
6 changes: 3 additions & 3 deletions src/pen_map_tipo_doc_recebimento_padrao.php
Original file line number Diff line number Diff line change
Expand Up @@ -84,9 +84,9 @@
?>
function inicializar(){

if ('<?=$_GET['acao']?>'=='pen_map_tipo_doc_recebimento_padrao_atribuir'){
if ('<?=htmlspecialchars($_GET['acao'])?>'=='pen_map_tipo_doc_recebimento_padrao_atribuir'){
document.getElementById('selTipoDocumentoPadrao').focus();
} else if ('<?=$_GET['acao']?>'=='pen_map_tipo_doc_recebimento_padrao_consultar'){
} else if ('<?=htmlspecialchars($_GET['acao'])?>'=='pen_map_tipo_doc_recebimento_padrao_consultar'){
infraDesabilitarCamposAreaDados();
}

Expand All @@ -112,7 +112,7 @@ function validarCadastro() {
PaginaSEI::getInstance()->fecharHead();
PaginaSEI::getInstance()->abrirBody($strTitulo, 'onload="inicializar();"');
?>
<form id="frmEspeciePadraoAtribuir" method="post" onsubmit="return OnSubmitForm();" action="<?=SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.$_GET['acao'].'&acao_origem='.$_GET['acao_origem'].$strParametros)?>">
<form id="frmEspeciePadraoAtribuir" method="post" onsubmit="return OnSubmitForm();" action="<?=SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao']).'&acao_origem='.htmlspecialchars($_GET['acao_origem']).$strParametros)?>">
<?
PaginaSEI::getInstance()->montarBarraComandosSuperior($arrComandos);
PaginaSEI::getInstance()->abrirAreaDados('30em');
Expand Down
10 changes: 5 additions & 5 deletions src/pen_map_tipo_documento_envio_listar.php
Original file line number Diff line number Diff line change
Expand Up @@ -19,7 +19,7 @@

$objPenRelTipoDocMapEnviadoRN = new PenRelTipoDocMapEnviadoRN();

$strProprioLink = 'controlador.php?acao='.$_GET['acao'].'&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_retorno'];
$strProprioLink = 'controlador.php?acao='.htmlspecialchars($_GET['acao']).'&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_retorno']);

try {
$objSessaoSEI->validarLink();
Expand Down Expand Up @@ -217,7 +217,7 @@ function onCLickLinkDelete(url, link) {
}

function onClickBtnNovo(){
window.location = '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_envio_cadastrar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_origem']); ?>';
window.location = '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_envio_cadastrar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_origem'])); ?>';
}

function onClickBtnExcluir(){
Expand All @@ -228,7 +228,7 @@ function onClickBtnExcluir(){
if(len > 0){
if(confirm('Confirma a exclus�o de ' + len + ' mapeamento(s) ?')) {
var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_envio_excluir&acao_origem='.$_GET['acao_origem'].'&acao_retorno=pen_map_tipo_documento_envio_listar'); ?>');
form.attr('action', '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_envio_excluir&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno=pen_map_tipo_documento_envio_listar'); ?>');
form.submit();
}
}
Expand All @@ -252,10 +252,10 @@ function onClickBtnExcluir(){
<?php $objPaginaSEI->abrirAreaDados('5em'); ?>

<label for="nome_serie" class="infraLabelOpcional input-label-first">Tipo de Documento SEI:</label>
<input type="text" name="nome_serie" class="infraText input-field-first" onkeyup="return tratarEnter(event)" value="<?php print $_POST['nome_serie']; ?>"/>
<input type="text" name="nome_serie" class="infraText input-field-first" onkeyup="return tratarEnter(event)" value="<?php print htmlspecialchars($_POST['nome_serie']); ?>"/>

<label for="nome_especie" class="infraLabelOpcional input-label-second">Esp�cie Documental PEN:</label>
<input type="text" name="nome_especie" class="infraText input-field-second" onkeyup="return tratarEnter(event)" value="<?php print $_POST['nome_especie']; ?>"/>
<input type="text" name="nome_especie" class="infraText input-field-second" onkeyup="return tratarEnter(event)" value="<?php print htmlspecialchars($_POST['nome_especie']); ?>"/>

<?php $objPaginaSEI->fecharAreaDados(); ?>

Expand Down
6 changes: 3 additions & 3 deletions src/pen_map_tipo_documento_envio_padrao.php
Original file line number Diff line number Diff line change
Expand Up @@ -86,9 +86,9 @@
?>
function inicializar(){

if ('<?=$_GET['acao']?>'=='pen_map_tipo_documento_envio_padrao_atribuir'){
if ('<?=htmlspecialchars($_GET['acao'])?>'=='pen_map_tipo_documento_envio_padrao_atribuir'){
document.getElementById('selEspeciePadraoEnvio').focus();
} else if ('<?=$_GET['acao']?>'=='pen_map_tipo_documento_envio_padrao_consultar'){
} else if ('<?=htmlspecialchars($_GET['acao'])?>'=='pen_map_tipo_documento_envio_padrao_consultar'){
infraDesabilitarCamposAreaDados();
}

Expand All @@ -114,7 +114,7 @@ function validarCadastro() {
PaginaSEI::getInstance()->fecharHead();
PaginaSEI::getInstance()->abrirBody($strTitulo, 'onload="inicializar();"');
?>
<form id="frmEspeciePadraoAtribuir" method="post" onsubmit="return OnSubmitForm();" action="<?=SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.$_GET['acao'].'&acao_origem='.$_GET['acao_origem'].$strParametros)?>">
<form id="frmEspeciePadraoAtribuir" method="post" onsubmit="return OnSubmitForm();" action="<?=SessaoSEI::getInstance()->assinarLink('controlador.php?acao='.htmlspecialchars($_GET['acao']).'&acao_origem='.htmlspecialchars($_GET['acao_origem']).$strParametros)?>">
<?
PaginaSEI::getInstance()->montarBarraComandosSuperior($arrComandos);
PaginaSEI::getInstance()->abrirAreaDados('30em');
Expand Down
10 changes: 5 additions & 5 deletions src/pen_map_tipo_documento_recebimento_listar.php
Original file line number Diff line number Diff line change
Expand Up @@ -19,7 +19,7 @@

$objPenRelTipoDocMapRecebidoRN = new PenRelTipoDocMapRecebidoRN();

$strProprioLink = 'controlador.php?acao='.$_GET['acao'].'&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_retorno'];
$strProprioLink = 'controlador.php?acao='.htmlspecialchars($_GET['acao']).'&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_retorno']);

try {

Expand Down Expand Up @@ -235,7 +235,7 @@ function onCLickLinkDelete(url, link) {
}

function onClickBtnNovo(){
window.location = '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_recebimento_cadastrar&acao_origem='.$_GET['acao_origem'].'&acao_retorno='.$_GET['acao_origem']); ?>';
window.location = '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_recebimento_cadastrar&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno='.htmlspecialchars($_GET['acao_origem'])); ?>';
}

function onClickBtnExcluir(){
Expand All @@ -244,7 +244,7 @@ function onClickBtnExcluir(){
if(len > 0){
if(confirm('Confirma a exclus�o de ' + len + ' mapeamento(s) ?')) {
var form = jQuery('#frmAcompanharEstadoProcesso');
form.attr('action', '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_recebimento_excluir&acao_origem='.$_GET['acao_origem'].'&acao_retorno=pen_map_tipo_documento_recebimento_listar'); ?>');
form.attr('action', '<?php print $objSessaoSEI->assinarLink('controlador.php?acao=pen_map_tipo_documento_recebimento_excluir&acao_origem='.htmlspecialchars($_GET['acao_origem']).'&acao_retorno=pen_map_tipo_documento_recebimento_listar'); ?>');
form.submit();
}
}
Expand All @@ -266,10 +266,10 @@ function onClickBtnExcluir(){
<?php $objPaginaSEI->montarBarraComandosSuperior($arrComandos); ?>
<?php $objPaginaSEI->abrirAreaDados('5em'); ?>
<label for="nome_especie" class="infraLabelObrigatorio input-label-first">Esp�cie Documental PEN:</label>
<input type="text" name="nome_especie" class="infraText input-field-first" onkeyup="return tratarEnter(event)" value="<?php print $_POST['nome_especie']; ?>"/>
<input type="text" name="nome_especie" class="infraText input-field-first" onkeyup="return tratarEnter(event)" value="<?php print htmlspecialchars($_POST['nome_especie']); ?>"/>

<label for="nome_serie" class="infraLabelObrigatorio input-label-second">Tipo de Documento SEI:</label>
<input type="text" name="nome_serie" class="infraText input-field-second" onkeyup="return tratarEnter(event)" value="<?php print $_POST['nome_serie']; ?>"/>
<input type="text" name="nome_serie" class="infraText input-field-second" onkeyup="return tratarEnter(event)" value="<?php print htmlspecialchars($_POST['nome_serie']); ?>"/>
<?php $objPaginaSEI->fecharAreaDados(); ?>

<?php if($numRegistros > 0): ?>
Expand Down
Loading