Bug 19319: Reflected XSS Vulnerability in opac-MARCdetail.pl
[koha.git] / opac / opac-ratings.pl
1 #!/usr/bin/perl
2
3 # Copyright 2011 KohaAloha, NZ
4 #
5 # This file is part of Koha.
6 #
7 # Koha is free software; you can redistribute it and/or modify it
8 # under the terms of the GNU General Public License as published by
9 # the Free Software Foundation; either version 3 of the License, or
10 # (at your option) any later version.
11 #
12 # Koha is distributed in the hope that it will be useful, but
13 # WITHOUT ANY WARRANTY; without even the implied warranty of
14 # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
15 # GNU General Public License for more details.
16 #
17 # You should have received a copy of the GNU General Public License
18 # along with Koha; if not, see <http://www.gnu.org/licenses>.
19
20 =head1
21
22 A non-javascript method to add/modify a biblio's rating, called from opac-detail.pl
23
24 note: there is currently no 'delete rating' functionality in this script
25
26 =cut
27
28 use strict;
29 use warnings;
30 use CGI qw ( -utf8 );
31
32 use C4::Auth;
33 use C4::Context;
34 use C4::Debug;
35
36 use Koha::Ratings;
37
38 my $query = CGI->new();
39
40 # auth required to add ratings
41 my ($userid, $cookie, $sessionID) = checkauth( $query, 0, {}, 'opac' );
42 my $loggedinuser = C4::Context->userenv->{'number'};
43
44 my $biblionumber     = $query->param('biblionumber');
45 my $rating_old_value = $query->param('rating_value');
46 my $rating_value     = $query->param('rating');
47
48 # If JS is disabled and a user click on "Rate me" without selecting a rate
49 unless ( $biblionumber and $rating_value ) {
50     print $query->redirect(
51         "/cgi-bin/koha/opac-detail.pl?biblionumber=$biblionumber");
52     exit;
53 }
54
55 if ( !$rating_old_value ) {
56     my $rating = Koha::Rating->new( { biblionumber => $biblionumber, borrowernumber => $loggedinuser, rating_value => $rating_value, });
57     $rating->store if $rating;
58 }
59 else {
60     my $rating = Koha::Ratings->find( { biblionumber => $biblionumber, borrowernumber => $loggedinuser });
61     $rating->rating_value($rating_value)->store if $rating;
62 }
63 print $query->redirect(
64     "/cgi-bin/koha/opac-detail.pl?biblionumber=$biblionumber");