Fix vulnerability in handling _session argument of utils/save-prefs (#1489382)

Aleksander Machniak

2013-10-17 197203727417a03d87053a47e5aa5175a76e3e0b

 program/include/main.inc

@@ -169,14 +169,16 @@
  // get target timestamp
  $ts = get_offset_time($rcmail->config->get('message_cache_lifetime', '30d'), -1);

  $db->query("DELETE FROM ".get_table_name('cache_messages')
  if ($rcmail->config->get('messages_cache') || $rcmail->config->get('enable_caching')) {
    $db->query("DELETE FROM ".get_table_name('cache_messages')
        ." WHERE changed < " . $db->fromunixtime($ts));

  $db->query("DELETE FROM ".get_table_name('cache_index')
    $db->query("DELETE FROM ".get_table_name('cache_index')
        ." WHERE changed < " . $db->fromunixtime($ts));

  $db->query("DELETE FROM ".get_table_name('cache_thread')
    $db->query("DELETE FROM ".get_table_name('cache_thread')
        ." WHERE changed < " . $db->fromunixtime($ts));
  }

  $db->query("DELETE FROM ".get_table_name('cache')
        ." WHERE created < " . $db->fromunixtime($ts));