C'est à dire que les balises html ne soit pas autorisé ?

en effet cela pose un problème !

je ne sais pas... il met une iframe qui peut poser des problèmes de sécurités, il peut casser le rendu css/html sans s'en rendre compte etc
Et même c'est comme si on avoir des smileys sur son nom dans sa carte d'identité, c'est absurde !

De plus si les caractères html sont échappés par la suite dans les pages publiques (genre comment) pourquoi les accepter lors de l'inscription ?

Bon, manque de bol, ça n'a "fonctionné" qu'un moment. En effet, l'utilisateur « P<script>window.open('http://piwigo.org');</script> » ne peut être affiché qu'au moment de l'enregistrement de celui-ci, car à l'identification, le champ "username" est limité à 40 caractères. Cet utilisateur ne peut donc pas s'identifier à nouveau après s'être déconnecté.

Néanmoins, je t'invite Gotcha à vérifier la dernière page des utilisateurs dans la partie administration du site : tu vas voir ça fait bizarre. (Je t'envoie les identifiants de ton compte admin. Ne pas s'étonner des 100 et quelques pages d'utilisateurs, c'est une galerie un peu spéciale... ^^ )

Mais sinon, avec Whois Online, ça "fonctionnait" quand même un moment. Je vais peut-être notifier cljosse, aussi.

Gotcha a écrit:

Oki mais je ne sais pas comment faire en sorte d'interdire ce genre de procéder à moins d'interdire les caractères : < et > ou sinon lors de la validation à les remplacer...

Il existe des fonctions en PHP (et peut-être même en Javascript d'ailleurs) pour remplacer certains caractères :

Doc PHP a écrit:

htmlspecialchars :
Convertit les caractères spéciaux en entités HTML

"&" (et commercial) devient "&amp;"
""" (guillemets doubles) devient "&quot;" lorsque ENT_NOQUOTES n'est pas utilisée.
"'" (guillemet simple) devient "'" uniquement lorsque ENT_QUOTES est utilisée.
"<" (inférieur à) devient "&lt;"
">" (supérieur à) devient "&gt;"

ÀMHA, il faut modifier le "core" de Piwigo, pour être sûr qu'aucune action malveillante ne puisse être effectuée de cette façon-là, à toutes les pages, et sans qu'aucun plugin ne soit nécessaire.

Gotcha a écrit:

@Eric :
Ce serait bien une petite option dans UAM qui permettrait d'interdire certains caractères ^^

Par exemple, en bloquant les lettres : " < " et " > " on pourrait éviter l'injection de code sur ce champs "login" à l'inscription ;-)

Mais c'est déjà le cas. On peut exclure une liste de caractères non souhaités dans les usernames au moment de l'inscription. Bien entendu, ceux qui sont déjà inscrits ne sont pas impactés. ;-)