Protect download urls against CSRF using unique request tokens (#1490642) S...

Thomas Bruederli

2016-01-16 4a408843b0ef816daf70a472a02b78cd6073a4d5

 program/steps/addressbook/export.inc

@@ -1,6 +1,6 @@
<?php

/*
/**
 +-----------------------------------------------------------------------+
 | program/steps/addressbook/export.inc                                  |
 |                                                                       |
@@ -20,6 +20,8 @@
 | Author: Aleksander Machniak <machniak@kolabsys.com>                   |
 +-----------------------------------------------------------------------+
*/

$RCMAIL->request_security_check(rcube_utils::INPUT_GET);

// Use search result
if (!empty($_REQUEST['_search']) && isset($_SESSION['search'][$_REQUEST['_search']])) {
@@ -98,6 +100,14 @@
    $result = $CONTACTS->list_records(null, 0, true);
}

// Give plugins a possibility to implement other output formats or modify the result
$plugin = $RCMAIL->plugins->exec_hook('addressbook_export', array('result' => $result));
$result = $plugin['result'];

if ($plugin['abort']) {
    exit;
}

// send downlaod headers
header('Content-Type: text/x-vcard; charset='.RCUBE_CHARSET);
header('Content-Disposition: attachment; filename="contacts.vcf"');
@@ -121,14 +131,11 @@
 */
function prepare_for_export(&$record, $source = null)
{
    $groups = $source && $source->groups && $source->export_groups ? $source->get_record_groups($record['ID']) : null;
    $groups   = $source && $source->groups && $source->export_groups ? $source->get_record_groups($record['ID']) : null;
    $fieldmap = $source ? $source->vcard_map : null;

    if (empty($record['vcard'])) {
        $vcard = new rcube_vcard();
        if ($source) {
            $vcard->extend_fieldmap($source->vcard_map);
        }
        $vcard->load($record['vcard']);
        $vcard = new rcube_vcard($record['vcard'], RCUBE_CHARSET, false, $fieldmap);
        $vcard->reset();

        foreach ($record as $key => $values) {
@@ -151,11 +158,19 @@
            $vcard->set('groups', join(',', $groups), null);
        }

        $record['vcard'] = $vcard->export(true);
        $record['vcard'] = $vcard->export();
    }
    // patch categories to alread existing vcard block
    else if ($record['vcard'] && !empty($groups) && !strpos($record['vcard'], 'CATEGORIES:')) {
        $vgroups = 'CATEGORIES:' . rcube_vcard::vcard_quote(join(',', $groups));
        $record['vcard'] = str_replace('END:VCARD', $vgroups . rcube_vcard::$eol . 'END:VCARD', $record['vcard']);
    else if ($record['vcard']) {
        $vcard = new rcube_vcard($record['vcard'], RCUBE_CHARSET, false, $fieldmap);

        // unset CATEGORIES entry, it might be not up-to-date (#1490277)
        $vcard->set('groups', null);
        $record['vcard'] = $vcard->export();

        if (!empty($groups)) {
            $vgroups = 'CATEGORIES:' . rcube_vcard::vcard_quote($groups, ',');
            $record['vcard'] = str_replace('END:VCARD', $vgroups . rcube_vcard::$eol . 'END:VCARD', $record['vcard']);
        }
    }
}