Improve system security by using optional special URL with security token A...

Aleksander Machniak

2014-12-16 681ba6fc3c296cd6cd11050531b8f4e785141786

 program/steps/mail/compose.inc

@@ -91,6 +91,7 @@
$OUTPUT->set_env('mailbox', $RCMAIL->storage->get_folder());
$OUTPUT->set_env('top_posting', intval($RCMAIL->config->get('reply_mode')) > 0);
$OUTPUT->set_env('recipients_separator', trim($RCMAIL->config->get('recipients_separator', ',')));
$OUTPUT->set_env('save_localstorage', (bool)$RCMAIL->config->get('compose_save_localstorage'));

$drafts_mbox     = $RCMAIL->config->get('drafts_mbox');
$config_show_sig = $RCMAIL->config->get('show_sig', 1);
@@ -130,8 +131,10 @@
    $compose_mode = RCUBE_COMPOSE_EDIT;
}

$COMPOSE['mode'] = $compose_mode;
$OUTPUT->set_env('compose_mode', $compose_mode);
if ($compose_mode) {
    $COMPOSE['mode'] = $compose_mode;
    $OUTPUT->set_env('compose_mode', $compose_mode);
}

if ($compose_mode == RCUBE_COMPOSE_EDIT || $compose_mode == RCUBE_COMPOSE_DRAFT) {
    // don't add signature in draft/edit mode, we'll also not remove the old-one
@@ -801,21 +804,13 @@
        return '';
    }

    if (empty($part->ctype_parameters) || empty($part->ctype_parameters['charset'])) {
        $part->ctype_parameters['charset'] = $MESSAGE->headers->charset;
    }

    // fetch part if not available
    if (!isset($part->body)) {
        $part->body = $MESSAGE->get_part_content($part->mime_id);
    }
    $body = $MESSAGE->get_part_body($part->mime_id, true);

    // message is cached but not exists (#1485443), or other error
    if ($part->body === false) {
    if ($body === false) {
        return '';
    }

    $body = $part->body;

    if ($isHtml) {
        if ($part->ctype_secondary == 'html') {
@@ -956,7 +951,7 @@
            "googie.setCurrentLanguage('%s');\n".
            "googie.setDecoration(false);\n".
            "googie.decorateTextarea('%s');\n",
            $RCMAIL->output->get_skin_path(),
            $RCMAIL->output->asset_url($RCMAIL->output->get_skin_path()),
            $RCMAIL->url(array('_task' => 'utils', '_action' => 'spell', '_remote' => 1)),
                !empty($dictionary) ? 'true' : 'false',
            rcube::JQ(rcube::Q($RCMAIL->gettext('checkspelling'))),
@@ -993,6 +988,8 @@
        )
    ));

    $reply_mode = intval($RCMAIL->config->get('reply_mode'));

    if (!$bodyIsHtml) {
        $body = preg_replace('/\r?\n/', "\n", $body);
        $body = trim($body, "\n");
@@ -1001,10 +998,13 @@
        $body = rcmail_wrap_and_quote($body, $LINE_LENGTH);

        $prefix .= "\n";
        $suffix = '';

        if (intval($RCMAIL->config->get('reply_mode')) > 0) { // top-posting
        if ($reply_mode > 0) { // top-posting
            $prefix = "\n\n\n" . $prefix;
            $suffix = '';
        }
        else {
            $suffix = "\n";
        }
    }
    else {
@@ -1019,7 +1019,7 @@
        $prefix = '<p>' . rcube::Q($prefix) . "</p>\n";
        $prefix .= '<blockquote>';

        if (intval($RCMAIL->config->get('reply_mode')) > 0) { // top-posting
        if ($reply_mode > 0) { // top-posting
            $prefix = '<br>' . $prefix;
            $suffix = '</blockquote>';
        }
@@ -1311,7 +1311,6 @@
        }
        else {
            $data = $storage->get_raw_body($message->uid);
            $curr_mem += $message->size;
        }

        $attachment = array(
@@ -1362,7 +1361,7 @@
        $path     = tempnam($temp_dir, 'rcmAttmnt');

        if ($fp = fopen($path, 'w')) {
            $message->get_part_content($pid, $fp, true, 0, false);
            $message->get_part_body($pid, false, 0, $fp);
            fclose($fp);
        }
        else {
@@ -1370,7 +1369,7 @@
        }
    }
    else {
        $data = $message->get_part_content($pid, null, true, 0, false);
        $data = $message->get_part_body($pid);
    }

    $mimetype = $part->ctype_primary . '/' . $part->ctype_secondary;
@@ -1384,6 +1383,7 @@
        'data'       => $data,
        'path'       => $path,
        'size'       => $path ? filesize($path) : strlen($data),
        'charset'    => $part->charset,
    );

    $attachment = $rcmail->plugins->exec_hook('attachment_save', $attachment);
@@ -1453,6 +1453,9 @@
    if (isset($_POST['_subject'])) {
        $subject = rcube_utils::get_input_value('_subject', rcube_utils::INPUT_POST, TRUE);
    }
    else if (!empty($COMPOSE['param']['subject'])) {
        $subject = $COMPOSE['param']['subject'];
    }
    // create a reply-subject
    else if ($compose_mode == RCUBE_COMPOSE_REPLY) {
        if (preg_match('/^re:/i', $MESSAGE->subject))
@@ -1473,9 +1476,6 @@
    // creeate a draft-subject
    else if ($compose_mode == RCUBE_COMPOSE_DRAFT || $compose_mode == RCUBE_COMPOSE_EDIT) {
        $subject = $MESSAGE->subject;
    }
    else if (!empty($COMPOSE['param']['subject'])) {
        $subject = $COMPOSE['param']['subject'];
    }

    $out = $form_start ? "$form_start\n" : '';