Changeset 10

Timestamp:

Nov 27, 2009, 4:54:48 PM (14 years ago)

Author:

roby

Message:

prova di modifica iniziale

Location:

trunk/client

Files:

• modules.php (modified) (2 diffs)
• modules/Elezioni/confronti.php (modified) (1 diff)
• modules/Elezioni/index.php (modified) (1 diff)
• modules/Elezioni/votanti.php (modified) (1 diff)

trunk/client/modules.php

@@ -151 +151 @@
 {
 $id_cons_bak=intval($param['id_cons_gen']);
-if (isset($param['id_comune'])) $id_combak=$param['id_comune']; else $id_combak=$_SESSION['id_comune'];
+if (isset($param['id_comune'])) $id_combak=intval($param['id_comune']); else $id_combak=$_SESSION['id_comune'];
 $res = mysql_query("SELECT id_cons,id_conf FROM ".$prefix."_ele_cons_comune where id_cons_gen='$id_cons_bak' and id_comune='$id_combak'" , $dbi);
 list($id_cons,$hondt) = mysql_fetch_row($res);
@@ -221 +221 @@
 $name=(isset($_GET['name'])) ? $_GET['name']:"Elezioni";
 //$op= (isset($_GET['op'])) ? $_GET['op']:"gruppo";
+$name=htmlentities($name); 
+$file=htmlentities($file); 
+$id_comune=intval($id_comune); 
+
 $modpath = "modules/$name/$file.php";
 //if (!$op) $op="gruppo";

trunk/client/modules/Elezioni/confronti.php

@@ -28 +28 @@
 if (isset($param['pags'])) $pags=intval($param['pags']); else $pags=0;
 if (isset($param['listecol'])) $listecol=intval($param['listecol']); else $listecol=0;
+
+$grp1= htmlentities($grp1); 
+$grp2= htmlentities($grp3); 
+$grp3= htmlentities($grp3); 
 
 echo "<table><tr><td align=\"center\">"._CNFR_CONS."</td></tr></table>";

trunk/client/modules/Elezioni/index.php

@@ -41 +41 @@
 if (isset($param['tipo_cons'])) $tipo_cons=intval($param['tipo_cons']); else $tipo_cons='';
 if (isset($param['descr_circ'])) $descr_circ=intval($param['descr_circ']); else $descr_circ='';
+
+
+# anti-xss nov. 2009 
+$id_comune=htmlentities($id_comune); 
+$id_comune=intval($id_comune); 
+$perc=floatval($perc); 
+$perc_lista=floatval($perc_lista); 
+$datipdf= htmlentities($datipdf); 
+$op= htmlentities($op); 
+$info= htmlentities($info); 
+$files=htmlentities($files); 
+$lettera=htmlentities($lettera); 
+$ordine=htmlentities($ordine); 
 
 $res = mysql_query("SELECT id_conf FROM ".$prefix."_ele_cons_comune where id_cons_gen='$id_cons_gen' and id_comune='$id_comune'" , $dbi);

trunk/client/modules/Elezioni/votanti.php

@@ -35 +35 @@
 if (isset($param['tipo_cons'])) $tipo_cons=intval($param['tipo_cons']); else $tipo_cons='';
 
+$id_comune=intval($id_comune);