Smarty の script_escape でサニタイズされる対象の追加

[nanasess]

• " (onmouse|onload|onerror|onclick)***="*** のパターン追加
• 万が一、プラグインや独自カスタマイズでエスケープ漏れのあった場合の保険のため
• Smarty の script_escape でサニタイズされる対象の追加 #458

[codecov-commenter]

Codecov Report

Merging #492 (868752d) into master (704c03c) will not change coverage.
The diff coverage is n/a.

@@            Coverage Diff            @@
##             master     #492   +/-   ##
=========================================
  Coverage     46.62%   46.62%           
  Complexity       14       14           
=========================================
  Files            81       81           
  Lines         10580    10580           
=========================================
  Hits           4933     4933           
  Misses         5647     5647           

Flag	Coverage Δ
tests	46.62% <ø> (ø)

Flags with carried forward coverage won't be shown. Click here to find out more.

---

Continue to review full report at Codecov.

Legend - Click here to learn more
Δ = absolute <relative> (impact), ø = not affected, ? = missing data
Powered by Codecov. Last update 704c03c...868752d. Read the comment docs.

[matsuoshi]

@nanasess ありがとうございます、マージします

[bbkids]

この修正の後、フロント側で商品一覧のページナビゲーションが表示されなくなってしまいます。

list.tpl内の $tpl_strnavi の実行結果が
<span class="script" tag escaped#< div>
と返されるようになってしまった事が原因だと思われます。

[nanasess]

@bbkids ご報告ありがとうございます。以下のように nofilter を付与することで改善しますでしょうか？

diff --git a/data/Smarty/templates/default/products/list.tpl b/data/Smarty/templates/default/products/list.tpl
index 17f5d7154..4f17e165a 100644
--- a/data/Smarty/templates/default/products/list.tpl
+++ b/data/Smarty/templates/default/products/list.tpl
@@ -116,7 +116,7 @@
                     <!--{/foreach}-->
                 </select>
             </div>
-            <div class="navi"><!--{$tpl_strnavi}--></div>
+            <div class="navi"><!--{$tpl_strnavi nofilter}--></div>
         </div>
     <!--{/capture}-->
     <!--▲ページナビ(本文)-->

[bbkids]

早々にご対応有難う御座います。
ご教示頂きました通り、nofilter を付与することで改善致しました！

[nanasess]

@bbkids 以下、新たに Pull Request しましたが、他のページも対応が必要そうです
#496