Sistema de Apoio ao Processo Legislativo

You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.

Tree: f84a020c15

2756-status-materia-pauta

2989-adicionado-presenca-em-reunioes-3.1.x

3.1.162-patch

3.1.x

3007-Adcionando-mudança-de-apresentaçã0-de-oradores-painel

3058-refatorar-tela-composicao-de-comissao-para-vue

3217-registro-numeracao

3268-result-votacao

3279-leitura-em-bloco

3299-orderby-explicito

3828_refatorar_mesa_diretora

AlertaSonoroPainel

MateriaDiscussao

OsTicket_#635416

Reuniao_frente_3364

StringsNaoFormatadas

Websocket_painel

adicionar-cron-job

bump_django

centraliza_resultado

configuracao_impressao

cron-update-solr-index

deduplica_comissao

dependabot/npm_and_yarn/diff-8.0.3

dependabot/npm_and_yarn/js-yaml-4.1.1

dependabot/npm_and_yarn/lodash-4.17.23

dependabot/npm_and_yarn/multi-c8afcbbcd8

dependabot/npm_and_yarn/node-forge-1.3.2

dependabot/pip/requirements/django-4.2.26

dependabot/pip/requirements/weasyprint-68.0

django-celery

faceted-search-2

feat/file-metafields

feat/melhorias-pntp-oficio-017

feat/painel-votacao-v2

feat/rate-limiter-2026

feat/sessao-relatorio-perf

fixes_protocolo_materia

form-appconfig

frontend_assets

hotfix/sanitize-textfield-xss

impressao-materia-tramitacao

insere_ano_numeracao_audiencia_publica

issue#3396

issue#3438

js-update

legislatura-fevereiro

master

merged-migrations-2021

mesa-vuejs

migracao

performance-relatorios

pesquisar-auditlog

refatora-relatorio-tramitacao

refatora-relatorios-pauta-sessao

sapl-logs

script-comissao

script-migracao-norma-materia

situacao-pauta

tela-config-relatorio

tipo-proposicao

upgrade-sapl

upgrade-sapl-sync-2026-02-25

valida-html

vuejs_painel

3.1.0-BETA

3.1.0-alpha

3.1.1-BETA

3.1.1-alpha

3.1.10-BETA

3.1.100

3.1.101

3.1.102

3.1.103

3.1.104

3.1.105

3.1.106

3.1.107

3.1.108

3.1.109

3.1.11-BETA

3.1.110

3.1.111

3.1.112

3.1.113

3.1.113-ALPHA

3.1.114

3.1.115

3.1.116

3.1.117

3.1.118

3.1.119

3.1.12-BETA

3.1.120

3.1.121

3.1.122

3.1.123

3.1.124

3.1.125

3.1.126

3.1.127

3.1.128

3.1.129

3.1.13-BETA

3.1.130

3.1.131

3.1.132

3.1.133

3.1.134

3.1.135

3.1.136

3.1.137

3.1.138

3.1.139

3.1.14-BETA

3.1.140

3.1.141

3.1.142

3.1.143

3.1.144

3.1.145

3.1.146

3.1.147

3.1.148

3.1.149

3.1.15-BETA

3.1.150

3.1.151

3.1.152

3.1.153

3.1.154

3.1.155

3.1.156

3.1.157

3.1.157-RC0

3.1.157-RC1

3.1.157-RC2

3.1.157-RC3

3.1.157-RC4

3.1.157-RC5

3.1.158

3.1.159

3.1.159-RC0

3.1.159-RC1

3.1.159-RC2

3.1.159-RC3

3.1.16-BETA

3.1.160

3.1.160-RC0

3.1.160-RC1

3.1.160-RC10

3.1.160-RC11

3.1.160-RC12

3.1.160-RC13

3.1.160-RC14

3.1.160-RC15

3.1.160-RC2

3.1.160-RC4

3.1.160-RC5

3.1.160-RC6

3.1.160-RC7

3.1.160-RC8

3.1.160-RC9

3.1.161

3.1.161-RC0

3.1.161-RC1

3.1.161-RC10

3.1.161-RC11

3.1.161-RC12

3.1.161-RC13

3.1.161-RC14

3.1.161-RC15

3.1.161-RC16

3.1.161-RC17

3.1.161-RC18

3.1.161-RC19

3.1.161-RC2

3.1.161-RC20

3.1.161-RC3

3.1.161-RC4

3.1.161-RC5

3.1.161-RC6

3.1.161-RC7

3.1.161-RC8

3.1.161-RC9

3.1.162

3.1.162-RC0

3.1.162-RC1

3.1.162-RC10

3.1.162-RC11

3.1.162-RC12

3.1.162-RC13

3.1.162-RC14

3.1.162-RC15

3.1.162-RC16

3.1.162-RC17

3.1.162-RC18

3.1.162-RC19

3.1.162-RC2

3.1.162-RC20

3.1.162-RC3

3.1.162-RC4

3.1.162-RC5

3.1.162-RC6

3.1.162-RC7

3.1.162-RC8

3.1.162-RC9

3.1.163

3.1.163-RC1

3.1.163-RC10

3.1.163-RC11

3.1.163-RC12

3.1.163-RC13

3.1.163-RC14

3.1.163-RC15

3.1.163-RC16

3.1.163-RC17

3.1.163-RC18

3.1.163-RC19

3.1.163-RC2

3.1.163-RC20

3.1.163-RC21

3.1.163-RC22

3.1.163-RC23

3.1.163-RC24

3.1.163-RC3

3.1.163-RC4

3.1.163-RC5

3.1.163-RC6

3.1.163-RC7

3.1.163-RC8

3.1.163-RC9

3.1.164-RC0

3.1.164-RC1

3.1.164-RC2

3.1.164-RC2-test

3.1.164-RC3

3.1.164-RC4

3.1.164-RC5

3.1.164-alpha

3.1.165-RC0

3.1.165-RC1

3.1.165-RC2

3.1.17-BETA

3.1.18-BETA

3.1.19-BETA

3.1.2-BETA

3.1.20-BETA

3.1.21-BETA

3.1.22-BETA

3.1.23-BETA

3.1.24-BETA

3.1.25-BETA

3.1.26-BETA

3.1.27-BETA

3.1.28-BETA

3.1.29-BETA

3.1.3-BETA

3.1.30-BETA

3.1.31-BETA

3.1.32-BETA

3.1.33-BETA

3.1.34-BETA

3.1.35-BETA

3.1.36-BETA

3.1.37-BETA

3.1.38-BETA

3.1.39-BETA

3.1.4-BETA

3.1.40-BETA

3.1.41-BETA

3.1.42-BETA

3.1.43-BETA

3.1.44-BETA

3.1.45

3.1.46

3.1.47

3.1.48

3.1.49

3.1.5-BETA

3.1.50

3.1.51

3.1.52

3.1.53

3.1.54

3.1.55

3.1.56

3.1.57

3.1.58

3.1.59

3.1.6-BETA

3.1.60

3.1.61

3.1.62

3.1.63

3.1.64

3.1.65

3.1.66

3.1.67

3.1.68

3.1.69

3.1.7-BETA

3.1.70

3.1.71

3.1.72

3.1.73

3.1.74

3.1.75

3.1.76

3.1.77

3.1.78

3.1.79

3.1.8-BETA

3.1.80

3.1.81

3.1.82

3.1.83

3.1.84

3.1.85

3.1.86

3.1.87

3.1.88

3.1.89

3.1.9-BETA

3.1.90

3.1.91

3.1.92

3.1.93

3.1.94

3.1.95

3.1.96

3.1.97

3.1.98

3.1.99

Branches Tags

${ item.name }

Create tag ${ searchTerm }

Create branch ${ searchTerm }

from 'f84a020c15'

${ noResults }

sapl/sapl/templates/sessao/votacao

History

Edward Ribeiro f84a020c15 continuous-integration/drone/push Build is passing Details Sanitiza HTML/JavaScript nos campos TextField (stored XSS) Os ~71 campos models.TextField do SAPL guardavam texto livre sem nenhuma sanitização, e a renderização os tratava como HTML confiável em 142 pontos (|safe, {% autoescape off %}). Qualquer usuário com permissão de edição conseguia gravar <script> num campo e executá-lo no navegador de quem abrisse a tela, inclusive nas páginas públicas (acompanhamento de matéria, perfil público de parlamentar, resumo de sessão). Duas camadas, ambas usando a mesma função idempotente para que não se acumulem: - Entrada: receiver pre_save global em sapl/base/receivers.py, cobrindo forms, a API do drfautoapi, o admin e o shell num único ponto. - Saída: get_field_display() em sapl/crispy_layout_mixin.py — que monta o HTML de todo TextField para as telas de list/detail do CRUD — mais o novo filtro |sanitize nos templates. Protege as linhas gravadas antes desta mudança, já que não há backfill. Políticas por campo, em sapl/sanitize.py: - plain (padrão): remove toda a marcação e preserva o texto. - rich: allowlist para os campos editados no TinyMCE (conteúdo de expediente, ocorrências, considerações finais e texto de dispositivo). Links continuam funcionando, com target e o alinhamento do editor preservados; javascript:, data:, on* e <script> são descartados. - exempt: LexmlProvedor.xml e TipoTextoArticulado.rodape_global, que não são HTML. Corrige também cinco |safe dentro de <textarea>, onde </textarea><script> escapava do contexto, e cinco |striptags|safe — a documentação do Django avisa que striptags não garante HTML seguro. Sem migração de dados: as linhas existentes são neutralizadas na renderização e limpas quando o registro for salvo de novo. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		1 day ago
..
leitura_form.html	Fix #2927 #2507 - Matérias apenas lidas e não votadas (#2953)	7 years ago
nominal.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
nominal_detail.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
nominal_edit.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
nominal_transparencia.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
simbolica_transparencia.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
votacao.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
votacao_bloco.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
votacao_edit.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
votacao_nominal_bloco.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago
votacao_simbolica_bloco.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	1 day ago