Fix vulnerability in handling _session argument of utils/save-prefs (#1489382)

Aleksander Machniak

2013-10-17 197203727417a03d87053a47e5aa5175a76e3e0b

 program/steps/mail/addcontact.inc

@@ -50,7 +50,7 @@
      $OUTPUT->show_message('errorsavingcontact', 'error');
      $OUTPUT->send();
    }
    

    $email = rcube_idn_to_ascii($contact['email']);
    if (!check_email($email, false)) {
      $OUTPUT->show_message('emailformaterror', 'error', array('email' => $contact['email']));
@@ -58,20 +58,23 @@
    }

    $contact['email'] = rcube_idn_to_utf8($contact['email']);
    $contact['name'] = rcube_addressbook::compose_display_name($contact);
    $contact = $RCMAIL->plugins->exec_hook('contact_displayname', $contact);

    if (empty($contact['firstname']) || empty($contact['surname']))
      $contact['name'] = rcube_addressbook::compose_display_name($contact);

    // validate contact record
    if (!$CONTACTS->validate($contact, true)) {
      $error = $CONTACTS->get_error();
      // TODO: show dialog to complete record
      // if ($error['type'] == rcube_addressbook::ERROR_VALIDATE) { }
      

      $OUTPUT->show_message($error['message'] ? $error['message'] : 'errorsavingcontact', 'error');
      $OUTPUT->send();
    }

    // check for existing contacts
    $existing = $CONTACTS->search('email', $contact['email'], true, false);
    $existing = $CONTACTS->search('email', $contact['email'], 1, false);

    if ($done = $existing->count)
      $OUTPUT->show_message('contactexists', 'warning');