XSS sanitize standard page url parameters

James Moger

2014-09-06 dfaf1fc1f6d8214bcabb9a613d53d0f0dc45352c

 src/main/java/com/gitblit/wicket/GitBlitWebApp.java

@@ -46,6 +46,7 @@
import com.gitblit.manager.IUserManager;
import com.gitblit.tickets.ITicketService;
import com.gitblit.transport.ssh.IPublicKeyManager;
import com.gitblit.utils.XssFilter;
import com.gitblit.wicket.pages.ActivityPage;
import com.gitblit.wicket.pages.BlamePage;
import com.gitblit.wicket.pages.BlobDiffPage;
@@ -100,6 +101,8 @@

   private final IStoredSettings settings;

   private final XssFilter xssFilter;

   private final IRuntimeManager runtimeManager;

   private final IPluginManager pluginManager;
@@ -134,6 +137,7 @@

      super();
      this.settings = runtimeManager.getSettings();
      this.xssFilter = runtimeManager.getXssFilter();
      this.runtimeManager = runtimeManager;
      this.pluginManager = pluginManager;
      this.notificationManager = notificationManager;
@@ -251,7 +255,7 @@
      if (!settings.getBoolean(Keys.web.mountParameters, true)) {
         parameters = new String[] {};
      }
      mount(new GitblitParamUrlCodingStrategy(settings, location, clazz, parameters));
      mount(new GitblitParamUrlCodingStrategy(settings, xssFilter, location, clazz, parameters));

      // map the mount point to the cache control definition
      if (clazz.isAnnotationPresent(CacheControl.class)) {
@@ -308,6 +312,14 @@
   }

   /* (non-Javadoc)
    * @see com.gitblit.wicket.Webapp#xssFilter()
    */
   @Override
   public XssFilter xssFilter() {
      return xssFilter;
   }

   /* (non-Javadoc)
    * @see com.gitblit.wicket.Webapp#isDebugMode()
    */
   @Override