src/Web/Listener/EasyAdminRefererListener.php line 21

Open in your IDE?
  1. <?php
  3. declare(strict_types=1);
  5. namespace SpringerNature\CPS\AMEDReviewTracker\Web\Listener;
  7. use Symfony\Component\HttpKernel\Event\RequestEvent;
  9. /**
  10.  * Kernel Listener that removes the Easy Admin 'referer' parameter if it is not a valid Easy Admin path.
  11.  * The `referer` parameter is vulnerable to XSS injection.
  12.  *
  13.  * Note: This is not meant as a permanent solution, rather serves as a stopgap.
  14.  */
  15. class EasyAdminRefererListener
  16. {
  17.     public const HTTP_PARAMETER_REFERER = 'referer';
  19.     private const EASY_ADMIN_ROOT_PATH = '/admin/management/';
  21.     public function onKernelRequest(RequestEvent $e): void
  22.     {
  23.         if ($e->getRequest()->query->has(self::HTTP_PARAMETER_REFERER)) {
  24.             $referer = urldecode($e->getRequest()->query->get(self::HTTP_PARAMETER_REFERER));
  26.             if ((0 !== strpos($referer, self::EASY_ADMIN_ROOT_PATH)) || filter_var($referer, FILTER_VALIDATE_URL)) {
  27.                 $e->getRequest()->query->remove(self::HTTP_PARAMETER_REFERER);
  29.                 return;
  30.             }
  32.             $e->getRequest()->query->set(self::HTTP_PARAMETER_REFERER, filter_var($referer, FILTER_SANITIZE_ENCODED));
  33.         }
  34.     }
  35. }