Fix vulnerability in handling _session argument of utils/save-prefs (#1489382)

Aleksander Machniak

2013-10-17 197203727417a03d87053a47e5aa5175a76e3e0b

 program/steps/mail/show.inc

@@ -49,6 +49,9 @@
  $OUTPUT->set_env('permaurl', rcmail_url('show', array('_uid' => $MESSAGE->uid, '_mbox' => $mbox_name)));
  $OUTPUT->set_env('delimiter', $IMAP->get_hierarchy_delimiter());
  $OUTPUT->set_env('mailbox', $mbox_name);
  if ($CONFIG['drafts_mbox']) {
    $OUTPUT->set_env('drafts_mailbox', $CONFIG['drafts_mbox']);
  }

  // mimetypes supported by the browser (default settings)
  $mimetypes = $RCMAIL->config->get('client_mimetypes', 'text/plain,text/html,text/xml,image/jpeg,image/gif,image/png,application/x-javascript,application/pdf,application/x-shockwave-flash');
@@ -132,7 +135,7 @@

        $ol .= html::tag('li', null,
          html::a(array(
            'href' => $MESSAGE->get_part_url($attach_prop->mime_id),
            'href' => $MESSAGE->get_part_url($attach_prop->mime_id, false),
            'onclick' => sprintf(
              'return %s.command(\'load-attachment\',{part:\'%s\', mimetype:\'%s\'},this)',
              JS_OBJECT_NAME,
@@ -150,12 +153,13 @@
  return $out;
}

function rcmail_remote_objects_msg($attrib)
function rcmail_remote_objects_msg()
{
  global $MESSAGE, $RCMAIL;

  if (!$attrib['id'])
    $attrib['id'] = 'rcmremoteobjmsg';
  $attrib['id']    = 'remote-objects-message';
  $attrib['class'] = 'notice';
  $attrib['style'] = 'display: none';

  $msg = Q(rcube_label('blockedimages')) . ' ';
  $msg .= html::a(array('href' => "#loadimages", 'onclick' => JS_OBJECT_NAME.".command('load-images')"), Q(rcube_label('showimages')));
@@ -168,6 +172,48 @@

  $RCMAIL->output->add_gui_object('remoteobjectsmsg', $attrib['id']);
  return html::div($attrib, $msg);
}

function rcmail_message_buttons()
{
  global $MESSAGE, $RCMAIL, $CONFIG;

  $mbox  = $RCMAIL->imap->get_mailbox_name();
  $delim = $RCMAIL->imap->get_hierarchy_delimiter();
  $dbox  = $CONFIG['drafts_mbox'];

  // the message is not a draft
  if ($mbox != $dbox && strpos($mbox, $dbox.$delim) !== 0) {
    return '';
  }

  $attrib['id']    = 'message-buttons';
  $attrib['class'] = 'notice';

  $msg = Q(rcube_label('isdraft')) . ' ';
  $msg .= html::a(array('href' => "#edit", 'onclick' => JS_OBJECT_NAME.".command('edit')"), Q(rcube_label('edit')));

  return html::div($attrib, $msg);
}

function rcmail_message_objects($attrib)
{
  global $RCMAIL, $MESSAGE;

  if (!$attrib['id'])
    $attrib['id'] = 'message-objects';

  $content = array(
    rcmail_message_buttons(),
    rcmail_remote_objects_msg(),
  );

  $plugin = $RCMAIL->plugins->exec_hook('message_objects',
    array('content' => $content, 'message' => $MESSAGE));

  $content = implode("\n", $plugin['content']);

  return html::div($attrib, $content);
}

function rcmail_contact_exists($email)
@@ -189,7 +235,8 @@
$OUTPUT->add_handlers(array(
  'messageattachments' => 'rcmail_message_attachments',
  'mailboxname' => 'rcmail_mailbox_name_display',
  'blockedobjects' => 'rcmail_remote_objects_msg'));
  'messageobjects' => 'rcmail_message_objects',
));


if ($RCMAIL->action=='print' && $OUTPUT->template_exists('messageprint'))