luci-mod-admin-full: escape display parameter

Prevent reflected XSS through the reset button by url encoding the
display parameter.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

treewide: improve handling of page redirections in uci change views

Instead of passing the full LuCI request url, pass the relative resolved
request path instead and filter the received value through the lookup()
dispatcher function to only allow paths to actual internal pages.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: introduce luci.dispatcher.lookup()

The lookup function takes multiple, possibly malformed path fragments,
splits them on slashes, constructs a temporary path and looks up the
result in the dispatch tree.

If a matching node has been found, the function will return both the
node reference and the canonical url to it.

If no corresponding node is found, the function returns nil.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

Merge pull request #1723 from dibdot/travelmate

luci-app-travelmate: bugfixes

luci-app-travelmate: bugfixes

* use the form() action to invoke the SimpleForm models
* fix 'wifi_add' input form

Signed-off-by: Dirk Brenken <dev@brenken.org>

luci-app-adblock: fix SimpleForm page delegation

Invoke the SimpleForm models using the form() action, not the cbi() ones.
This avoids the extraneous rendering of the cbi header template, avoiding
rejected save operations due to duplicated token value.

Fixes #1722.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

Merge pull request #1718 from dibdot/travelmate

luci-app-travelmate: sync with travelmate 1.2.0

Merge pull request #1709 from dibdot/get_interface-fix

luci-base/network.lua: fix get_interface function

treewide: filter shell arguments through shellquote() where applicable

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: introduce luci.util.shellquote()

Introduce a new function luci.util.shellquote() which encloses the given
string argument in single quotes and escapes any embedded single quote
characters.

This function is intended to be used when interpolating untrusted input
into shell commands.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-mod-admin-full: fix possible shell injection in bandwith status

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: fix possible shell injection in luci.tools.status.switch_status()

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: dispatcher: reject non-POST requests with any cbi.submit value

Due to the fact that luci.model.cbi reacts on any "cbi.submit" value while
the dispatcher only required POST for cbi.submit == 1, the CSRF token
protection could be bypassed.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-app-freifunk-diagnostics: use FULL_REQUEST_URI

Switch from using the REQUEST_URI CGI variable directly to the canonicalized
FULL_REQUEST_URI property.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-app-commands: use FULL_REQUEST_URI

Switch from using the REQUEST_URI CGI variable directly to the canonicalized
FULL_REQUEST_URI property.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: use FULL_REQUEST_URI on login form templates

Switch from using the REQUEST_URI CGI variable directly to the canonicalized
FULL_REQUEST_URI property.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: add FULL_REQUEST_URI template property

Introduce a new template property FULL_REQUEST_URI which returns the full
canonicalized request URL built from SCRIPT_NAME, PATH_INFO and QUERY_STRING.

This new property is safer to use compared to using the raw REQUEST_URI CGI
environment variable directly as this value is essentially untrusted user
input which may contain embedded escaped slashes, double forward slashes and
other oddities allowing XSS exploitation or request redirection.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-mod-admin-full: use strict hostname validation for dhcp hosts

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: add a strict flag to the hostname validator

Some applications, e.g. dnsmasq, do not allow hostnames starting with an
underscore, therefor extend the existing hostname datatype validator with
a `strict` which disallows a leading underscore.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: switch to ubus uci operations

Switch luci.model.uci to use ubus uci calls instead of driving libuci-lua
directly.

This prepares support for more advanced features such as per-session change
isolation and configuration rollback on errors.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-app-travelmate: sync with travelmate 1.2.0

* remove needless 'automatic' and 'trigger' options plus small fixes

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1715 from TDT-AG/pr/20180403-luci-app-mwan3-update

luci-app-mwan3: fixes and improvments

luci-app-mwan3: remove unnecessary 'tracking active' hint

Remove the unnecessary 'tracking active' hint from the status interface
page.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: remove diag-rc-legend field id

On the material theme the "Collecting data" hint in the status pages
was still present on the page even though the command was sucessfull executed.

Remove the legend tag and move the info "Collecting data" to the
"diag-rc-output" tag will solve this issue.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: calculate max interface usage from mmx_mask value

Show max interface value on interface page dependent on the mmx_mask
value

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-base: zh_CN: update Simplified Chinese translation

Signed-off-by: Qian Zheng <sotux82@gmail.com>

luci-base/network.lua: fix get_interface function

* fix wrong private function call to handle
  section id as parameter (fix for #1687)

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1706 from musashino205/l10n/tmate-upd-ja

luci-app-travelmate: update Japanese translation

luci-app-travelmate: update Japanese translation

Updated Japanese translations.

Signed-off-by: INAGAKI Hiroshi <musashino.open@gmail.com>

i18n: sync translations

Signed-off-by: INAGAKI Hiroshi <musashino.open@gmail.com>

Merge pull request #1703 from dibdot/travelmate

luci-app-travelmate: made "ignore bssid" flag conditional

Merge pull request #1704 from TDT-AG/pr/20180328-luci-app-mwan3-fixes

luci-app-mwan3: fix syntax error and update notify page

luci-app-mwan3: update notify info

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: fix strict XHTML syntax error

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-travelmate: made "ignore bssid" flag conditional

* made the "ignore bssid" flag conditional to ease connection
  to hidden networks:
    * default for hidden networks "disabled"
    * default for all others "enabled"

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1697 from TDT-AG/pr/20180323-luci-base-fix-tblsection

luci-base: add missing colspan in tblsection if table is empty

luci-base: fix colspans calculation in tblsection

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #1701 from SvenRoederer/patch-2

wireguard: add dependency to luci-proto-wireguard

wireguard: add dependency to luci-proto-wireguard

Installing luci-app-wireguard should also install luci-proto-wireguard, to have it as an protocol for interface setup.

Signed-off-by: Sven Roederer <devel-sven@geroedel.de>

Merge pull request #1696 from TDT-AG/pr/20180323-luci-app-mwan3-add-boxes-again

luci-app-mwan3: add boxes again and update css in luci-theme-material

luci-theme-material: add missing css classes

* Add missing css class danger
* Add missing css class success
* Update background color for css class warning

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: add missing graphics boxes again

Add css boxes for mwan3 status again

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: remove notMonitored status information

This case is not supported by mwan3 anymore

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #1695 from dibdot/regex-dhcphost

luci-base/util.lua: enhance checklib function

luci-base/util.lua: enhance checklib function

* enhance the checklib function in util.lua to check the 'fullpathexe'
  as well, e.g. this fixes runtime errors on the dhcp/dns template in
  environments without dnsmasq

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1693 from sotux/master_zh-cn-translation

luci-app-upnp: zh_CN: Update Simplified Chinese translation

luci-app-upnp: zh_CN: Update Simplified Chinese translation

Signed-off-by: Qian Zheng <sotux82@gmail.com>

Merge pull request #1692 from EricLuehrsen/unbound_pnet

unbound: add domain resolution control options

Merge pull request #1689 from aparcar/asu-fixup

luci-app-attendedsysupgrade: fixup missing package

unbound: add domain resolution control options

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>

Merge pull request #1691 from dibdot/travelmate

luci-app-travelmate: final frontend changes for 18.x

luci-app-travelmate: final frontend changes for 18.x

* made qrencode support optional (remove hardcoded dependency)
  * add a conditional QR Code button on overview page,
    remove separate "QR Codes" tab
* move trigger timeout setting to extra section

Signed-off-by: Dirk Brenken <dev@brenken.org>

luci-app-attendedsysupgrade: fixup missing package

Signed-off-by: Paul Spooren <spooren@informatik.uni-leipzig.de>

Merge pull request #1688 from dibdot/adblock

luci-app-adblock: remaining fixes

luci-app-adblock: remaining fixes

* missed in the last (untested) commit - sorry.

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1686 from dibdot/wifischedule

luci-app-wifischedule: fix function calls

Merge pull request #1685 from dibdot/travelmate

luci-app-travelmate: fix function calls

Merge pull request #1684 from dibdot/adblock

luci-app-adblock: fix function calls

luci-app-wifischedule: fix function calls

* fix function calls that have an implicit extra parameter self,
  pre-requisite for PR #1681

Signed-off-by: Dirk Brenken <dev@brenken.org>

luci-app-adblock: fix function calls

* fix function calls that have an implicit extra parameter self,
  pre-requisite for PR #1681

Signed-off-by: Dirk Brenken <dev@brenken.org>

luci-app-travelmate: fix function calls

* fix function calls that have an implicit extra parameter self,
  pre-requisite for PR #1681

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1654 from TDT-AG/pr/20180301-luci-several-fixes

luci-app-firewall/luci-base/luci-mod-admin-full: some fixes and improvements

Merge pull request #1680 from rtau/bugfix-ocserv_compr

luci-app-ocserv: match default value of compression

luci-app-ocserv: match default value of compression

Modify the default setting of compression to match the default
value of the package ocserv.

Signed-off-by: Raymond Tau <raymondtau@gmail.com>

treewide: unify mac address handling

Use the new luci.ip MAC address facilities to parse and verify MAC addresses
in a common way, instead of relying on various ad-hoc solutions.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: fix documentation spelling mistakes in luci.http.protocol

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: fix documentation spelling mistakes in luci.util

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-lib-ip: add MAC address calculation support

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-lib-nixio: fix spelling mistakes in documentation

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base: fix parsing of ethers(5)

The /etc/ethers file may contain any number of white space characters
between the mac address and the IP/hostname field, so extend the pattern
to allow for that.

Man ethers(5) also states that the IP field may be a symbolic hostname,
so test whether the name is an IP address or hostname before adding it
to the hints structure.

Fixes #1674.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

Merge pull request #1675 from dibdot/material-fix

luci-base/firewall_zonelist: fix visual interface/background alignment

luci-base/firewall_zonelist: fix visual interface/background alignment

* fix for #1667, tested with all standard themes

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1671 from dibdot/travelmate

luci-app-travelmate: remove qrencode short options

luci-app-travelmate: remove qrencode short options

* forthcoming qrencode version will remove the short option "-I"
  for inline, to get prepared switch to normal qrencode
  command line parameters.

Signed-off-by: Dirk Brenken <dev@brenken.org>

luci-app-attendedsysupgrade: reload rpcd fix #1668

when installing the luci app and opening it for the first time the
webinterface shows an error as some freshly installed rpcd calls are not
yet available. The reload fixes the problem.

luci-app-attendedsysupgrade: downloadable image

the creted sysupgrade image can now easily be downloaded via web
interface.

also fixed some </br> to <br />

Signed-off-by: Paul Spooren <spooren@informatik.uni-leipzig.de>

luci-app-attendedsysupgrade: show unknown package

Reads the header X-Unknown-Package offered by the sysupgrade server and
shows it in the error message.

Signed-off-by: Paul Spooren <spooren@informatik.uni-leipzig.de>

Merge pull request #1653 from guidosarducci/master-fix-apcups-statistics

[RFC] luci-app-statistics: only graph data supported by APC UPS

Merge pull request #1662 from dibdot/travelmate

luci-app-travelmate: fixes for new QR code template

luci-app-travelmate: fixes for new QR code template

* remove unofficial 'WPA2' enc. token for better compatibility with
  certain QR code reader, still 'WPA', 'WEP' and 'nopass' are supported
* add WEP key slot support (not really needed, but it's still
  supported by LuCI wireless)
* correct escape single quotes and other special chars
  in SSID & passwords
* code cleanup

Signed-off-by: Dirk Brenken <dev@brenken.org>

Merge pull request #1660 from musashino205/l10n/tmate-upd-ja

luci-app-travelmate: update Japanese translation

luci-app-travelmate: update Japanese translation

Updated Japanese translations.

Signed-off-by: INAGAKI Hiroshi <musashino.open@gmail.com>

luci-app-travelmate: sync translations

Synchronized translations with sources.

Signed-off-by: INAGAKI Hiroshi <musashino.open@gmail.com>

luci-app-statistics: only graph data supported by APC UPS

Some graph definitions rely on data not supported across all APC UPSes.
Due to recent upstream changes in collectd, the daemon no longer creates
a NaN-filled .rrd file corresponding to any missing UPS data. Depending
on the connected UPS, this may result in some "broken" graphs on the Luci
Statistics page since rrdtool cannot find the expected .rrd file.

Include the add_supported() function to determine the UPS data available
at runtime and update any definitions of graphs to include only supported
data. For example, the whole chart stack of AC input and output voltages
will normally be "broken" if the UPS only measures AC input voltage. With
these changes, the output voltage graph definition is stripped out,
allowing the chart to render.

Make consistent use of data types and instances in graph definitions. All
definitions now use the same format with the 'instances' key. Unnecessary
'types' and 'sources' keys are removed.

Fix the definition of 'line frequency' graph, based on upstream collectd
apcups plugin code: type is 'frequency' but instance should be 'input'.

This also includes some code and whitespace cleanup.

Signed-off-by: Tony Ambardar <itugrok@yahoo.com>

Merge pull request #1658 from dibdot/travelmate

luci-app-travelmate: sync with release 1.1.3

Merge pull request #1652 from TDT-AG/pr/20180301-luci-app-mwan3-fix-status-page

luci-app-mwan3: fix status pages

luci-app-travelmate: sync with release 1.1.3

* show WiFi QR codes from all configured Access Points

Signed-off-by: Dirk Brenken <dev@brenken.org>

luci-base: properly handle undefined IPv6 local-address information

If IPv6 prefix assignment is disabled, the "local-address" structure
might exist, but be empty which causes the adress formatting in the
network model class to bail out.

Verify the completeness of the "local-address" structure before using
it in order to avoid runtime errors.

Fixes #1657.
Signed-off-by: Jo-Philipp Wich <jo@mein.io>

luci-base, luci-mod-admin-full: store backup vars in luci configuration

Keep the ifname and bridge state backup variables in /etc/config/luci to not
pollute /etc/config/network.

Fixes #1655.
Signed-off-by: Jo-Philipp Wich <jo@mein.io>

Merge pull request #1656 from musashino205/l10n/adblk-upd-ja

luci-app-adblock: fix the msgid to keep the translations

luci-app-adblock: fix the msgid to keep the translations

XHTML markup of "&" in the description about "download queue" was fixed
in 71230d2. Since UI text of it no longer matches msgid, I fixed it.

Signed-off-by: INAGAKI Hiroshi <musashino.open@gmail.com>

luci-mod-admin-full: add hint on backup restore

Add a hint to backup restore that files could remain on the system.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-firewall: only show SNAT template if there are more then one zone

Only show SNAT template if there are more then one zone.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-firewall: on forward rule change preselection

Change the preselection for the src zone to wan and the dest zon to lan
because this is the normal situation.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-firewall: only show portforward template if there are more then one zone

Only show portforward template if there are more then one zone.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-base: fix browser.htm template

If cbi_init() is not called first browser gif will not be found.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: remove css from javascript in overview_status_interface

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: Update header name in status pages

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: remove duplicated code section

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: fix source styling

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

luci-app-mwan3: remove css styling from status_interface page

Signed-off-by: Florian Eckert <fe@dev.tdt.de>