Fixed session fixation vulnerability (issue 62)

James Moger

2012-02-09 e7883877a98dfcae3f75f1c1a562120d89aed22a

 src/com/gitblit/wicket/pages/EditRepositoryPage.java

@@ -26,6 +26,7 @@
import java.util.Set;



import org.apache.wicket.PageParameters;

import org.apache.wicket.behavior.SimpleAttributeModifier;

import org.apache.wicket.extensions.markup.html.form.palette.Palette;

import org.apache.wicket.markup.html.form.Button;

import org.apache.wicket.markup.html.form.CheckBox;

@@ -45,7 +46,6 @@
import com.gitblit.GitBlit;

import com.gitblit.GitBlitException;

import com.gitblit.Keys;

import com.gitblit.models.RefModel;

import com.gitblit.models.RepositoryModel;

import com.gitblit.models.UserModel;

import com.gitblit.utils.ArrayUtils;

@@ -262,6 +262,9 @@
         }

      };



      // do not let the browser pre-populate these fields

      form.add(new SimpleAttributeModifier("autocomplete", "off"));



      // field names reflective match RepositoryModel fields

      form.add(new TextField<String>("name").setEnabled(isCreate || isAdmin));

      form.add(new TextField<String>("description"));

@@ -272,9 +275,13 @@
      form.add(new CheckBox("isFrozen"));

      // TODO enable origin definition

      form.add(new TextField<String>("origin").setEnabled(false/* isCreate */));

      // enable alteration of the default branch after clone

      form.add(new DropDownChoice<RefModel>("defaultHead", repositoryModel.availableHeads,

            new RefModelRenderer()).setEnabled(GitBlitWebSession.get().canAdmin()));

		
      // allow relinking HEAD to a branch or tag other than master on edit repository

      List<String> availableRefs = new ArrayList<String>();

      if (!ArrayUtils.isEmpty(repositoryModel.availableRefs)) {

         availableRefs.addAll(repositoryModel.availableRefs);

      }

      form.add(new DropDownChoice<String>("HEAD", availableRefs).setEnabled(!isCreate));



      // federation strategies - remove ORIGIN choice if this repository has

      // no origin.

@@ -362,21 +369,6 @@
      } else {

         // No Administration Permitted

         error("Administration is disabled", true);

      }

   }



   private class RefModelRenderer implements IChoiceRenderer<RefModel> {



      private static final long serialVersionUID = 1L;



      @Override

      public String getDisplayValue(RefModel type) {

         return type.displayName;

      }



      @Override

      public String getIdValue(RefModel type, int index) {

         return type.getName();

      }

   }