WordPress.org
Get WordPress

Make WordPress Core

Changeset 36622


Ignore:
Timestamp:
02/23/2016 01:01:43 AM (11 years ago)
Author:
westonruter
Message:

Customize: Prevent dropping backslashes from input on general settings and settings for nav menus and some widgets.

Ensures that intentional backslashes (e.g. "\o/") can be used in:

  • Site title
  • Site description
  • Nav menu name
  • Custom Menu widget title
  • Tag Cloud widget title
  • Text widget body if can't unfiltered_html

The latter three are also fixed on the widgets admin page.

Fixes #35898.

Location:
trunk
Files:
8 edited

Legend:

Unmodified
Added
Removed

  • trunk/src/wp-includes/class-wp-customize-setting.php

    r36416 r36622  
    497497         */
    498498        public function sanitize( $value ) {
    499                 $value = wp_unslash( $value );
    500499
    501500                /**

  • trunk/src/wp-includes/customize/class-wp-customize-nav-menu-setting.php

    r35724 r36622  
    514514
    515515                        $menu_id = $is_placeholder ? 0 : $this->term_id;
    516                         $r = wp_update_nav_menu_object( $menu_id, $menu_data );
     516                        $r = wp_update_nav_menu_object( $menu_id, wp_slash( $menu_data ) );
    517517                        $original_name = $menu_data['menu-name'];
    518518                        $name_conflict_suffix = 1;
    … …  
    521521                                /* translators: 1: original menu name, 2: duplicate count */
    522522                                $menu_data['menu-name'] = sprintf( __( '%1$s (%2$d)' ), $original_name, $name_conflict_suffix );
    523                                 $r = wp_update_nav_menu_object( $menu_id, $menu_data );
     523                                $r = wp_update_nav_menu_object( $menu_id, wp_slash( $menu_data ) );
    524524                        }
    525525

  • trunk/src/wp-includes/nav-menu.php

    r36608 r36622  
    197197 * Creates a navigation menu.
    198198 *
     199 * Note that <code>$menu_name</code> is expected to be pre-slashed.
     200 *
    199201 * @since 3.0.0
    200202 *
    … …  
    203205 */
    204206function wp_create_nav_menu( $menu_name ) {
     207        // expected_slashed ($menu_name)
    205208        return wp_update_nav_menu_object( 0, array( 'menu-name' => $menu_name ) );
    206209}
    … …  
    253256 * Save the properties of a menu or create a new menu with those properties.
    254257 *
     258 * Note that <code>$menu_data</code> is expected to be pre-slashed.
     259 *
    255260 * @since 3.0.0
    256261 *
    … …  
    260265 */
    261266function wp_update_nav_menu_object( $menu_id = 0, $menu_data = array() ) {
     267        // expected_slashed ($menu_data)
    262268        $menu_id = (int) $menu_id;
    263269

  • trunk/src/wp-includes/widgets/class-wp-nav-menu-widget.php

    r34662 r36622  
    9393                $instance = array();
    9494                if ( ! empty( $new_instance['title'] ) ) {
    95                         $instance['title'] = sanitize_text_field( stripslashes( $new_instance['title'] ) );
     95                        $instance['title'] = sanitize_text_field( $new_instance['title'] );
    9696                }
    9797                if ( ! empty( $new_instance['nav_menu'] ) ) {

  • trunk/src/wp-includes/widgets/class-wp-widget-tag-cloud.php

    r35576 r36622  
    9999        public function update( $new_instance, $old_instance ) {
    100100                $instance = array();
    101                 $instance['title'] = sanitize_text_field( stripslashes( $new_instance['title'] ) );
     101                $instance['title'] = sanitize_text_field( $new_instance['title'] );
    102102                $instance['taxonomy'] = stripslashes($new_instance['taxonomy']);
    103103                return $instance;

  • trunk/src/wp-includes/widgets/class-wp-widget-text.php

    r34609 r36622  
    8181                $instance = $old_instance;
    8282                $instance['title'] = sanitize_text_field( $new_instance['title'] );
    83                 if ( current_user_can('unfiltered_html') )
    84                         $instance['text'] =  $new_instance['text'];
    85                 else
    86                         $instance['text'] = wp_kses_post( stripslashes( $new_instance['text'] ) );
     83                if ( current_user_can( 'unfiltered_html' ) ) {
     84                        $instance['text'] = $new_instance['text'];
     85                } else {
     86                        $instance['text'] = wp_kses_post( $new_instance['text'] );
     87                }
    8788                $instance['filter'] = ! empty( $new_instance['filter'] );
    8889                return $instance;

  • trunk/tests/phpunit/tests/customize/nav-menu-setting.php

    r35242 r36622  
    115115                do_action( 'customize_register', $this->wp_customize );
    116116                $default = array(
    117                         'name' => 'Lorem',
    118                         'description' => 'ipsum',
     117                        'name' => 'Lorem \\o/',
     118                        'description' => 'ipsum \\o/',
    119119                        'parent' => 123,
    120120                );
    … …  
    132132                do_action( 'customize_register', $this->wp_customize );
    133133
    134                 $menu_name = 'Test 123';
    135                 $parent_menu_id = wp_create_nav_menu( "Parent $menu_name" );
    136                 $description = 'Hello my world.';
    137                 $menu_id = wp_update_nav_menu_object( 0, array(
     134                $menu_name = 'Test 123 \\o/';
     135                $parent_menu_id = wp_create_nav_menu( wp_slash( "Parent $menu_name" ) );
     136                $description = 'Hello my world \\o/.';
     137                $menu_id = wp_update_nav_menu_object( 0, wp_slash( array(
    138138                        'menu-name' => $menu_name,
    139139                        'parent' => $parent_menu_id,
    140140                        'description' => $description,
    141                 ) );
     141                ) ) );
    142142
    143143                $setting_id = "nav_menu[$menu_id]";
    … …  
    154154
    155155                $new_menu_name = 'Foo';
    156                 wp_update_nav_menu_object( $menu_id, array( 'menu-name' => $new_menu_name ) );
     156                wp_update_nav_menu_object( $menu_id, wp_slash( array( 'menu-name' => $new_menu_name ) ) );
    157157                $updated_value = $setting->value();
    158158                $this->assertEquals( $new_menu_name, $updated_value['name'] );
    … …  
    167167                do_action( 'customize_register', $this->wp_customize );
    168168
    169                 $menu_id = wp_update_nav_menu_object( 0, array(
    170                         'menu-name' => 'Name 1',
    171                         'description' => 'Description 1',
     169                $menu_id = wp_update_nav_menu_object( 0, wp_slash( array(
     170                        'menu-name' => 'Name 1 \\o/',
     171                        'description' => 'Description 1 \\o/',
    172172                        'parent' => 0,
    173                 ) );
     173                ) ) );
    174174                $setting_id = "nav_menu[$menu_id]";
    175175                $setting = new WP_Customize_Nav_Menu_Setting( $this->wp_customize, $setting_id );
    … …  
    179179
    180180                $post_value = array(
    181                         'name' => 'Name 2',
    182                         'description' => 'Description 2',
     181                        'name' => 'Name 2 \\o/',
     182                        'description' => 'Description 2 \\o/',
    183183                        'parent' => 1,
    184184                        'auto_add' => true,
    … …  
    187187
    188188                $value = $setting->value();
    189                 $this->assertEquals( 'Name 1', $value['name'] );
    190                 $this->assertEquals( 'Description 1', $value['description'] );
     189                $this->assertEquals( 'Name 1 \\o/', $value['name'] );
     190                $this->assertEquals( 'Description 1 \\o/', $value['description'] );
    191191                $this->assertEquals( 0, $value['parent'] );
    192192
    … …  
    200200                $setting->preview();
    201201                $value = $setting->value();
    202                 $this->assertEquals( 'Name 2', $value['name'] );
    203                 $this->assertEquals( 'Description 2', $value['description'] );
     202                $this->assertEquals( 'Name 2 \\o/', $value['name'] );
     203                $this->assertEquals( 'Description 2 \\o/', $value['description'] );
    204204                $this->assertEquals( 1, $value['parent'] );
    205205                $term = (array) wp_get_nav_menu_object( $menu_id );
    … …  
    218218                $this->assertInternalType( 'int', $i, 'Update-previewed menu does not appear in wp_get_nav_menus()' );
    219219                $filtered_menu = $menus[ $i ];
    220                 $this->assertEquals( 'Name 2', $filtered_menu->name );
     220                $this->assertEquals( 'Name 2 \\o/', $filtered_menu->name );
    221221        }
    222222
    … …  
    231231                $menu_id = -123;
    232232                $post_value = array(
    233                         'name' => 'New Menu Name 1',
    234                         'description' => 'New Menu Description 1',
     233                        'name' => 'New Menu Name 1 \\o/',
     234                        'description' => 'New Menu Description 1 \\o/',
    235235                        'parent' => 0,
    236236                        'auto_add' => false,
    … …  
    263263                $this->assertInternalType( 'int', $i, 'Insert-previewed menu was not injected into wp_get_nav_menus()' );
    264264                $filtered_menu = $menus[ $i ];
    265                 $this->assertEquals( 'New Menu Name 1', $filtered_menu->name );
     265                $this->assertEquals( 'New Menu Name 1 \\o/', $filtered_menu->name );
    266266        }
    267267
    … …  
    274274                do_action( 'customize_register', $this->wp_customize );
    275275
    276                 $menu_id = wp_update_nav_menu_object( 0, array(
    277                         'menu-name' => 'Name 1',
    278                         'description' => 'Description 1',
     276                $menu_id = wp_update_nav_menu_object( 0, wp_slash( array(
     277                        'menu-name' => 'Name 1 \\o/',
     278                        'description' => 'Description 1 \\o/',
    279279                        'parent' => 0,
    280                 ) );
     280                ) ) );
    281281                $setting_id = "nav_menu[$menu_id]";
    282282                $setting = new WP_Customize_Nav_Menu_Setting( $this->wp_customize, $setting_id );
    … …  
    313313
    314314                $value = array(
    315                         'name' => ' Hello <b>world</b> ',
    316                         'description' => "New\nline",
     315                        'name' => ' Hello \\o/ <b>world</b> ',
     316                        'description' => "New\nline \\o/",
    317317                        'parent' => -12,
    318318                        'auto_add' => true,
    … …  
    320320                );
    321321                $sanitized = $setting->sanitize( $value );
    322                 $this->assertEquals( 'Hello &lt;b&gt;world&lt;/b&gt;', $sanitized['name'] );
    323                 $this->assertEquals( 'New line', $sanitized['description'] );
     322                $this->assertEquals( 'Hello \\o/ &lt;b&gt;world&lt;/b&gt;', $sanitized['name'] );
     323                $this->assertEquals( 'New line \\o/', $sanitized['description'] );
    324324                $this->assertEquals( 0, $sanitized['parent'] );
    325325                $this->assertEquals( true, $sanitized['auto_add'] );
    … …  
    339339                do_action( 'customize_register', $this->wp_customize );
    340340
    341                 $menu_id = wp_update_nav_menu_object( 0, array(
    342                         'menu-name' => 'Name 1',
    343                         'description' => 'Description 1',
     341                $menu_id = wp_update_nav_menu_object( 0, wp_slash( array(
     342                        'menu-name' => 'Name 1 \\o/',
     343                        'description' => 'Description 1 \\o/',
    344344                        'parent' => 0,
    345                 ) );
     345                ) ) );
    346346                $nav_menu_options = $this->get_nav_menu_items_option();
    347347                $nav_menu_options['auto_add'][] = $menu_id;
    … …  
    353353                $auto_add = false;
    354354                $new_value = array(
    355                         'name' => 'Name 2',
    356                         'description' => 'Description 2',
     355                        'name' => 'Name 2 \\o/',
     356                        'description' => 'Description 2 \\o/',
    357357                        'parent' => 1,
    358358                        'auto_add' => $auto_add,
    … …  
    401401                $menu_id = -123;
    402402                $post_value = array(
    403                         'name' => 'New Menu Name 1',
    404                         'description' => 'New Menu Description 1',
     403                        'name' => 'New Menu Name 1 \\o/',
     404                        'description' => 'New Menu Description 1 \\o/',
    405405                        'parent' => 0,
    406406                        'auto_add' => true,
    … …  
    449449
    450450                $menu_name = 'Foo';
    451                 wp_update_nav_menu_object( 0, array( 'menu-name' => $menu_name ) );
     451                wp_update_nav_menu_object( 0, wp_slash( array( 'menu-name' => $menu_name ) ) );
    452452
    453453                $menu_id = -123;
    … …  
    473473                do_action( 'customize_register', $this->wp_customize );
    474474
    475                 $menu_name = 'Lorem Ipsum';
    476                 $menu_id = wp_create_nav_menu( $menu_name );
     475                $menu_name = 'Lorem Ipsum \\o/';
     476                $menu_id = wp_create_nav_menu( wp_slash( $menu_name ) );
    477477                $setting_id = "nav_menu[$menu_id]";
    478478                $setting = new WP_Customize_Nav_Menu_Setting( $this->wp_customize, $setting_id );
    … …  
    507507                $this->assertNotContains( $menu_id, $nav_menu_options['auto_add'] );
    508508        }
    509 
    510509}

  • trunk/tests/phpunit/tests/customize/setting.php

    r35724 r36622  
    6868
    6969        public $post_data_overrides = array(
    70                 'unset_option_overridden' => 'unset_option_post_override_value',
    71                 'unset_theme_mod_overridden' => 'unset_theme_mod_post_override_value',
    72                 'set_option_overridden' => 'set_option_post_override_value',
    73                 'set_theme_mod_overridden' => 'set_theme_mod_post_override_value',
    74                 'unset_option_multi_overridden[foo]' => 'unset_option_multi_overridden[foo]_post_override_value',
    75                 'unset_theme_mod_multi_overridden[foo]' => 'unset_theme_mod_multi_overridden[foo]_post_override_value',
    76                 'set_option_multi_overridden[foo]' => 'set_option_multi_overridden[foo]_post_override_value',
    77                 'set_theme_mod_multi_overridden[foo]' => 'set_theme_mod_multi_overridden[foo]_post_override_value',
     70                'unset_option_overridden' => 'unset_option_post_override_value\\o/',
     71                'unset_theme_mod_overridden' => 'unset_theme_mod_post_override_value\\o/',
     72                'set_option_overridden' => 'set_option_post_override_value\\o/',
     73                'set_theme_mod_overridden' => 'set_theme_mod_post_override_value\\o/',
     74                'unset_option_multi_overridden[foo]' => 'unset_option_multi_overridden[foo]_post_override_value\\o/',
     75                'unset_theme_mod_multi_overridden[foo]' => 'unset_theme_mod_multi_overridden[foo]_post_override_value\\o/',
     76                'set_option_multi_overridden[foo]' => 'set_option_multi_overridden[foo]_post_override_value\\o/',
     77                'set_theme_mod_multi_overridden[foo]' => 'set_theme_mod_multi_overridden[foo]_post_override_value\\o/',
    7878        );
    7979
    … …  
    300300                $type = 'custom_type';
    301301                $post_data_overrides = array(
    302                         "unset_{$type}_with_post_value" => "unset_{$type}_without_post_value",
    303                         "set_{$type}_with_post_value" => "set_{$type}_without_post_value",
     302                        "unset_{$type}_with_post_value" => "unset_{$type}_without_post_value\\o/",
     303                        "set_{$type}_with_post_value" => "set_{$type}_without_post_value\\o/",
    304304                );
    305305                $_POST['customized'] = wp_slash( wp_json_encode( $post_data_overrides ) );
    … …  
    418418
    419419                // Try setting post value without user as admin.
    420                 $this->manager->set_post_value( $setting->id, 'hello world' );
     420                $this->manager->set_post_value( $setting->id, 'hello world \\o/' );
    421421                $this->assertFalse( $setting->save() );
    422422                $this->assertTrue( 0 === did_action( 'customize_update_custom' ) );
    … …  
    438438         */
    439439        function handle_customize_update_custom_foo_action( $value, $setting = null ) {
    440                 $this->assertEquals( 'hello world', $value );
     440                $this->assertEquals( 'hello world \\o/', $value );
    441441                $this->assertInstanceOf( 'WP_Customize_Setting', $setting );
    442442        }
Note: See TracChangeset for help on using the changeset viewer.