LUTECE-2210 : avoid path manipulation

Author: seboo

src/java/fr/paris/lutece/portal/web/style/ModesJspBean.java

@@ -45,6 +45,7 @@
 import fr.paris.lutece.portal.web.constants.Messages;
 import fr.paris.lutece.portal.web.constants.Parameters;
 import fr.paris.lutece.util.html.HtmlTemplate;
+import fr.paris.lutece.util.http.SecurityUtil;
 
 import java.io.File;
 
@@ -152,6 +153,11 @@ public String doCreateMode( HttpServletRequest request ) throws AccessDeniedExce
             strPath += File.separator;
         }
 
+        if ( SecurityUtil.containsPathManipulationChars(request, strPath) )
+        {
+            throw new AccessDeniedException( "Invalid path" );
+        }
+
         File dirPath = new File( AppPathService.getPath( PROPERTY_PATH_XSL ) + strPath );
 
         if ( dirPath.exists( ) )

src/java/fr/paris/lutece/portal/web/system/SystemJspBean.java

@@ -46,6 +46,7 @@
 import fr.paris.lutece.portal.service.util.AppPropertiesService;
 import fr.paris.lutece.portal.web.admin.AdminFeaturesPageJspBean;
 import fr.paris.lutece.util.html.HtmlTemplate;
+import fr.paris.lutece.util.http.SecurityUtil;
 import fr.paris.lutece.util.stream.StreamUtil;
 
 import java.io.File;
@@ -209,7 +210,7 @@ public String getFileView( HttpServletRequest request )
             {
                 String strFilePath = AppPathService.getWebAppPath( );
 
-                if ( strFilePath != null )
+                if ( strFilePath != null && SecurityUtil.containsPathManipulationChars( request, strFile ))
                 {
                     strFileData = getFileData( strFilePath + strDirectory + strFile );
                 }