Report de r23200 : - ?exec=valider_xml n'est executable que par les webmestres

- var_url ne doit pas contenir de ../../ ni de ..\..\ (windows)
- elle ne lance une action que si on a un var_token qui correspond soit a la signature de l'action en POST soit a la signature de l'action+var_url en GET. Ceci evite de faire lancer le validateur par un lien malveillant fourni a un webmstre d'un site auquel on a pas acces (CSRF)

(Nicolas Chatelain)