Changeset 320 for binary-improvements


Ignore:
Timestamp:
Jun 11, 2018, 4:51:30 PM (12 months ago)
Author:
alloc
Message:

Fixed #152: XSS attacks

Location:
binary-improvements/webserver/js
Files:
3 edited

Legend:

Unmodified
Added
Removed
  • binary-improvements/webserver/js/log.js

    r250 r320  
    2121                                $("<td>" + data.entries [i].uptime + "</td>").addClass ("logcol_uptime").appendTo (row);
    2222                                $("<td>" + data.entries [i].type + "</td>").addClass ("logcol_type").appendTo (row);
    23                                 var msg = $("<td>" + data.entries [i].msg + "</td>").addClass ("logcol_msg").appendTo (row);
     23                                var msg = $("<td></td>").text(data.entries [i].msg).addClass ("logcol_msg").appendTo (row);
    2424                                if (data.entries [i].trace.length > 0) {
    2525                                        msg.append ('<br><div class="trace"><span>' + data.entries [i].trace.replace (/\n/g, "</span><span>") + '</span></div><a class="tracebtn"></a>');
  • binary-improvements/webserver/js/map.js

    r315 r320  
    210210                        } else {
    211211                                marker = L.marker([val.position.x, val.position.z], {icon: playerIcon}).bindPopup(
    212                                         "Player: " + val.name +
     212                                        "Player: " + $("<div>").text(val.name).html() +
    213213                                        (HasPermission ("webapi.getplayerinventory") ?
    214214                                                "<br/><a class='inventoryButton' data-steamid='"+val.steamid+"'>Show inventory</a>"
  • binary-improvements/webserver/js/players.js

    r288 r320  
    2727                [ "entityid", "EntityID" ],
    2828                [ "ip", "IP" ],
    29                 [ "name", "Name" ],
     29                [ "name", "Name",
     30                        function(text, data) {
     31                                return $("<div>").text(text).html();
     32                        }
     33                ],
    3034                [ "online", "Online", null,
    3135                        function(text, data) {
Note: See TracChangeset for help on using the changeset viewer.