Backport XSS vulnerability fix to 0.5 branch

thomascube

2011-08-12 58fc995728352b466f166a67281b11f6db191f31

 program/include/rcube_template.php

@@ -113,7 +113,6 @@
        }
    }


    /**
     * Set page title variable
     */
@@ -121,7 +120,6 @@
    {
        $this->pagetitle = $title;
    }


    /**
     * Getter for the current page title
@@ -142,7 +140,6 @@

        return $title;
    }


    /**
     * Set skin
@@ -226,7 +223,6 @@
          $this->js_commands[] = $cmd;
    }


    /**
     * Add a localized label to the client environment
     */
@@ -241,7 +237,6 @@
        }
    }


    /**
     * Invoke display_message command
     *
@@ -254,14 +249,18 @@
    public function show_message($message, $type='notice', $vars=null, $override=true)
    {
        if ($override || !$this->message) {
            if (rcube_label_exists($message)) {
                if (!empty($vars))
                    $vars = array_map('Q', $vars);
                $msgtext = rcube_label(array('name' => $message, 'vars' => $vars));
            }
            else
                $msgtext = $message;

            $this->message = $message;
            $this->command(
                'display_message',
                rcube_label(array('name' => $message, 'vars' => $vars)),
                $type);
            $this->command('display_message', $msgtext, $type, $timeout * 1000);
        }
    }


    /**
     * Delete all stored env variables and commands
@@ -282,7 +281,6 @@
        parent::reset();
    }


    /**
     * Redirect to a certain url
     *
@@ -295,7 +293,6 @@
        header('Location: ' . $location);
        exit;
    }


    /**
     * Send the request output to the client.
@@ -361,16 +358,15 @@
    }

    /**
     * Parse a specific skin template and deliver to stdout
     *
     * Either returns nothing, or exists hard (exit();)
     * Parse a specific skin template and deliver to stdout (or return)
     *
     * @param  string  Template name
     * @param  boolean Exit script
     * @return void
     * @param  boolean Don't write to stdout, return parsed content instead
     *
     * @link   http://php.net/manual/en/function.exit.php
     */
    private function parse($name = 'main', $exit = true)
    function parse($name = 'main', $exit = true, $write = true)
    {
        $skin_path = $this->config['skin_path'];
        $plugin    = false;
@@ -428,21 +424,26 @@
        // trigger generic hook where plugins can put additional content to the page
        $hook = $this->app->plugins->exec_hook("render_page", array('template' => $realname, 'content' => $output));

        // add debug console
        if ($this->config['debug_level'] & 8) {
            $this->add_footer('<div id="console" style="position:absolute;top:5px;left:5px;width:405px;padding:2px;background:white;z-index:9000;">
                <a href="#toggle" onclick="con=$(\'#dbgconsole\');con[con.is(\':visible\')?\'hide\':\'show\']();return false">console</a>
                <textarea name="console" id="dbgconsole" rows="20" cols="40" wrap="off" style="display:none;width:400px;border:none;font-size:10px" spellcheck="false"></textarea></div>'
            );
        $output = $this->parse_with_globals($hook['content']);

        if ($write) {
            // add debug console
            if ($this->config['debug_level'] & 8) {
                $this->add_footer('<div id="console" style="position:absolute;top:5px;left:5px;width:405px;padding:2px;background:white;z-index:9000;">
                    <a href="#toggle" onclick="con=$(\'#dbgconsole\');con[con.is(\':visible\')?\'hide\':\'show\']();return false">console</a>
                    <textarea name="console" id="dbgconsole" rows="20" cols="40" wrap="off" style="display:none;width:400px;border:none;font-size:10px" spellcheck="false"></textarea></div>'
                );
            }
            $this->write(trim($output));
        }
        else {
            return $output;
        }

        $output = $this->parse_with_globals($hook['content']);
        $this->write(trim($output));
        if ($exit) {
            exit;
        }
    }


    /**
     * Return executable javascript code for all registered commands