SECURITY: OutputPage: Remove separation of css and js module allowance
authorTimo Tijhof <krinklemail@gmail.com>
Thu, 11 Sep 2014 23:14:16 +0000 (18:14 -0500)
committermglaser <glaser@hallowelt.biz>
Wed, 1 Oct 2014 20:48:29 +0000 (22:48 +0200)
commit614d7e5c274d927f99bfc52ac3a1e6c7e5902408
tree173afedf61671045a3d292b6801c3d1c538e3eed
parent8aaf4468411b77b3bff93302f8da5815744673ff
SECURITY: OutputPage: Remove separation of css and js module allowance

* No longer segment module origin allowance by an "only=" content
type. Both can be sensitive security-wise and there's no valid
use case for allowing CSS anywhere you want to disallow JS. Both
can significantly impact the user interface and cause unintended
actions to be taken on the user's behalf, or desired actions to
be made practically impossible.

* While at it, also remove the ability to set the module allowance
directly. The reduceAllowedModuleOrigin method is all we need.
I couldn't find usage or mention of setAllowedModules() in
mediawiki-core nor in any other Wikimedia-hosted repository.

Bug: 70672
Change-Id: I308e794daca27a9380c67be350f8ab51f9c2de34
includes/OutputPage.php