Fix vulnerability in handling _session argument of utils/save-prefs (#1489382)

Aleksander Machniak

2013-10-17 197203727417a03d87053a47e5aa5175a76e3e0b

 program/include/rcube_smtp.php

@@ -214,14 +214,10 @@
    if ($opts['dsn']) {
      $exts = $this->conn->getServiceExtensions();

      if (!isset($exts['DSN'])) {
        $this->error = array('label' => 'smtpdsnerror');
        $this->response[] = "DSN not supported";
        return false;
      if (isset($exts['DSN'])) {
        $from_params      = 'RET=HDRS';
        $recipient_params = 'NOTIFY=SUCCESS,FAILURE';
      }

      $from_params      = 'RET=HDRS';
      $recipient_params = 'NOTIFY=SUCCESS,FAILURE';
    }

    // RFC2298.3: remove envelope sender address
@@ -385,7 +381,7 @@
          $from = $addresses[0];

        // Reject envelope From: addresses with spaces.
        if (strstr($from, ' '))
        if (strpos($from, ' ') !== false)
          return false;

        $lines[] = $key . ': ' . $value;