Aleksander Machniak
2015-04-08 d61d668b64c44fc046095b807834c4836a8c05c5
program/lib/Roundcube/html.php
@@ -153,7 +153,7 @@
            $attr = array('src' => $attr);
        }
        return self::tag('img', $attr + array('alt' => ''), null, array_merge(self::$common_attrib,
            array('src','alt','width','height','border','usemap','onclick')));
            array('src','alt','width','height','border','usemap','onclick','onerror')));
    }
    /**
@@ -218,7 +218,7 @@
            $attr = array('src' => $attr);
        }
        return self::tag('iframe', $attr, $cont, array_merge(self::$common_attrib,
            array('src','name','width','height','border','frameborder','onload')));
            array('src','name','width','height','border','frameborder','onload','allowfullscreen')));
    }
    /**
@@ -283,11 +283,11 @@
                continue;
            }
            // ignore not allowed attributes, except data-*
            // ignore not allowed attributes, except aria-* and data-*
            if (!empty($allowed)) {
                $is_data_attr = @substr_compare($key, 'data-', 0, 5) === 0;
                $is_aria_attr = @substr_compare($key, 'aria-', 0, 5) === 0;
                if (!$is_aria_attr && !isset($allowed_f[$key]) && (!$is_data_attr || !isset($allowed_f['data-*']))) {
                if (!$is_aria_attr && !$is_data_attr && !isset($allowed_f[$key])) {
                    continue;
                }
            }