Improve system security by using optional special URL with security token A...

Aleksander Machniak

2014-12-16 681ba6fc3c296cd6cd11050531b8f4e785141786

 program/steps/addressbook/delete.inc

@@ -5,7 +5,7 @@
 | program/steps/addressbook/delete.inc                                  |
 |                                                                       |
 | This file is part of the Roundcube Webmail client                     |
 | Copyright (C) 2005-2009, The Roundcube Dev Team                       |
 | Copyright (C) 2005-2013, The Roundcube Dev Team                       |
 |                                                                       |
 | Licensed under the GNU General Public License version 3 or            |
 | any later version with exceptions for skins & plugins.                |
@@ -20,18 +20,18 @@
*/

// process ajax requests only
if (!$OUTPUT->ajax_call)
if (!$OUTPUT->ajax_call) {
    return;
}

$cids   = rcmail_get_cids();
$cids   = rcmail_get_cids(null, rcube_utils::INPUT_POST);
$delcnt = 0;

// remove previous deletes
$undo_time = $RCMAIL->config->get('undo_timeout', 0);
$RCMAIL->session->remove('contact_undo');

foreach ($cids as $source => $cid)
{
foreach ($cids as $source => $cid) {
    $CONTACTS = rcmail_contact_source($source);

    if ($CONTACTS->readonly) {
@@ -61,8 +61,8 @@
            $error = 'contactdelerror';
        }

        $source = get_input_value('_source', RCUBE_INPUT_GPC);
        $group  = get_input_value('_gid', RCUBE_INPUT_GPC);
        $source = rcube_utils::get_input_value('_source', rcube_utils::INPUT_GPC);
        $group  = rcube_utils::get_input_value('_gid', rcube_utils::INPUT_GPC);

        $OUTPUT->show_message($error, 'error');
        $OUTPUT->command('list_contacts', $source, $group);
@@ -78,6 +78,17 @@
    }
}

if (!empty($_SESSION['contact_undo'])) {
    $_SESSION['contact_undo']['ts'] = time();
    $msg = html::span(null, $RCMAIL->gettext('contactdeleted'))
        . ' ' . html::a(array('onclick' => rcmail_output::JS_OBJECT_NAME.".command('undo', '', this)"), $RCMAIL->gettext('undo'));

    $OUTPUT->show_message($msg, 'confirmation', null, true, $undo_time);
}
else {
    $OUTPUT->show_message('contactdeleted', 'confirmation');
}

$page = isset($_SESSION['page']) ? $_SESSION['page'] : 1;

// update saved search after data changed
@@ -88,8 +99,13 @@
    $result = new rcube_result_set($count, $first);
    $pages  = ceil((count($records) + $delcnt) / $PAGE_SIZE);

    // last page and it's empty, display previous one
    if ($result->count && $result->count <= ($PAGE_SIZE * ($page - 1))) {
        $OUTPUT->command('list_page', 'prev');
        $rowcount = $RCMAIL->gettext('loading');
    }
    // get records from the next page to add to the list
    if ($_GET['_from'] != 'show' && $pages > 1 && $page < $pages) {
    else if ($pages > 1 && $page < $pages) {
        // sort the records
        ksort($records, SORT_LOCALE_STRING);

@@ -111,10 +127,15 @@
else {
    // count contacts for this user
    $result = $CONTACTS->count();
    $pages  = ceil(($result->count + $delcnt) / $PAGE_SIZE);

    // last page and it's empty, display previous one
    if ($result->count && $result->count <= ($PAGE_SIZE * ($page - 1))) {
        $OUTPUT->command('list_page', 'prev');
        $rowcount = $RCMAIL->gettext('loading');
    }
    // get records from the next page to add to the list
    $pages = ceil(($result->count + $delcnt) / $PAGE_SIZE);
    if ($_GET['_from'] != 'show' && $pages > 1 && $page < $pages) {
    else if ($pages > 1 && $page < $pages) {
        $CONTACTS->set_page($page);
        $records = $CONTACTS->list_records(null, -$delcnt);
    }
@@ -122,18 +143,7 @@

// update message count display
$OUTPUT->set_env('pagecount', ceil($result->count / $PAGE_SIZE));
$OUTPUT->command('set_rowcount', rcmail_get_rowcount_text($result));

if (!empty($_SESSION['contact_undo'])) {
    $_SESSION['contact_undo']['ts'] = time();
    $msg = html::span(null, rcube_label('contactdeleted'))
        . ' ' . html::a(array('onclick' => JS_OBJECT_NAME.".command('undo', '', this)"), rcube_label('undo'));

    $OUTPUT->show_message($msg, 'confirmation', null, true, $undo_time);
}
else {
    $OUTPUT->show_message('contactdeleted', 'confirmation');
}
$OUTPUT->command('set_rowcount', $rowcount ? $rowcount : rcmail_get_rowcount_text($result));

// add new rows from next page (if any)
if (!empty($records)) {