webinterface.git

@@ -1,11 +1,13 @@

 <?php

+require_once("inc/security.php");

+

 function system_failure($reason)

 {

         include('inc/top.php');

         echo '<div class="error">

         <h3>Fehler</h3>

-        <p>Es ist ein Fehler aufgetreten: '.$reason.'</p>

+        <p>Es ist ein Fehler aufgetreten: '.filter_input_general($reason).'</p>

         </div>';

         include('inc/bottom.php');

         die();

@@ -51,7 +53,7 @@ function show_messages()

     ';

     foreach ($input_error as $error)

     {

-      echo '<li>'.$error."</li>\n";

+      echo '<li>'.filter_input_general($error)."</li>\n";

     }

     echo '</ul>

     </div>';

@@ -63,7 +65,7 @@ function show_messages()

     ';

     foreach ($warning as $msg)

     {

-      echo '<li>'.$msg."</li>\n";

+      echo '<li>'.filter_input_general($msg)."</li>\n";

     }

     echo '</ul>

     </div>';

@@ -75,7 +77,7 @@ function show_messages()

     ';

     foreach ($success_msg as $msg)

     {

-      echo '<li>'.$msg."</li>\n";

+      echo '<li>'.filter_input_general($msg)."</li>\n";

     }

     echo '</ul>

     </div>';

@@ -50,6 +50,23 @@ function filter_shell( $input )

         return ereg_replace('[^-[:alnum:]\_\.\+ßäöüÄÖÜ/%§=]', '', $input );

 }

+function check_path( $input )

+{

+  if ($input != filter_input_general($input))

+    return False;

+  DEBUG("checking {$input} for valid path name");

+  $components = explode("/", $input);

+  foreach ($components AS $item)

+  {

+    if ($item == '..')

+    {

+      return False;

+    }

+  }

+  return (preg_match('/^[a-z0-9.\/_-]*$/',$input) == 1);

+}

+

+

 function check_emailaddr( $input )

 {

         return (preg_match("/^[a-z]+[a-z0-9]*[\.|\-|_]?[a-z0-9]+@([a-z0-9]*[\.|\-]?[a-z0-9]+){1,4}\.[a-z]{2,4}$/i", $input ) == 1);

@@ -73,24 +73,24 @@ if (isset($_GET['action']) && $_GET['action'] == 'save')

 }

 elseif (isset($_GET['action']) && $_GET['action'] == 'create')

 {

+  $options = '';

+  $domains = get_domain_list($user['customerno'], $user['uid']);

+  if (count($domains) > 0)

+    $options .= '<option>----------------------------</option>';

+  foreach ($domains as $dom)

+    $options .= '<option value="'.$dom->fqdn.'">'.$dom->fqdn.'</option>';

+

   output('<h3>E-Mail-Account anlegen</h3>

 <p>Hier k&ouml;nnen Sie ein neues POP3/IMAP-Konto anlegen.</p>

-  <form action="accounts.php?action=save&'.$param.'" method="post">

-  '.generate_form_token('imap_accounts_create').'

+  '.html_form('imap_accounts_create', 'accounts.php', 'action=save', '

   <table style="margin-bottom: 1em;">

   <tr><th>Einstellung:</th><th>Wert:</th><th>&nbsp;</th></tr>

   <tr>

     <td>Benutzername:</td>

     <td><input type="text" id="user" name="user" />@<select name="domain" size="1">

     <option value="schokokeks.org">schokokeks.org</option>

-    ');

-    $domains = get_domain_list($user['customerno'], $user['uid']);

-    if (count($domains) > 0)

-      output('<option>----------------------------</option>');

-    foreach ($domains as $dom)

-      output('<option value="'.$dom->fqdn.'">'.$dom->fqdn.'</option>');

-    output('</select></td>

-

+  '.$options.'

+    </select></td>

   </tr>

   <tr>

     <td>Mailbox:</td>

@@ -106,8 +106,7 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'create')

   </tr>

   </table>

   <p><input type="submit" name="create" value="Anlegen" /><br />

-  </form>

-  ');

+  '));

 }

 elseif (isset($_GET['action']) && $_GET['action'] == 'delete' && $_GET['account'] != '')

 {

@@ -127,14 +126,13 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'delete' && $_GET['account'

     $_GET['account'] = (int) $_GET['account'];

     $account = get_mailaccount($_GET['account']);

     $enabled = ($account['enabled'] ? 'Ja' : 'Nein');

-    output('<form action="accounts.php?action=delete&amp;account='.$_GET['account'].'&amp;'.$param.'" method="post">

-    '.generate_form_token('imap_accounts_delete').'

-    <table style="margin-bottom: 1em;">

+    output(html_form('imap_accounts_delete', "accounts.php", "action=delete&account=".$_GET['account'], 

+    '<table style="margin-bottom: 1em;">

     <tr><td>Benutzername:</td>

-      <td>'.$account['account'].'</td>

+      <td>'.filter_input_general($account['account']).'</td>

     </tr>

     <tr><td>Mailbox:</td>

-      <td>'.$account['mailbox'].'</td>

+      <td>'.filter_input_general($account['mailbox']).'</td>

     </tr>

     <tr><td>Konto aktiv:</td>

       <td>'.$enabled.'</td>

@@ -143,8 +141,7 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'delete' && $_GET['account'

   <p><input type="hidden" name="confirm" value="yes" />

     <input type="submit" value="Wirklich l&ouml;schen" />

   </p>

-  </form>

-  ');

+  '));

   }

 }

 elseif (isset($_GET['edit']))

@@ -3,6 +3,7 @@

 require_once('inc/debug.php');

 require_once('inc/db_connect.php');

 require_once('inc/base.php');

+require_once('inc/security.php');

 require_once('class/domain.php');

@@ -133,17 +134,19 @@ function check_valid($acc)

   if ($acc['mailbox'] != '')

   {

     if (substr($acc['mailbox'], 0, strlen($user['homedir'])+1) != $user['homedir'].'/')

-      return "Die Mailbox muss innerhalb des Home-Verzeichnisses liegen. Sie haben \"".$acc['mailbox']."\" als Mailbox angegeben, Ihre Home-Verzeichnis ist \"".$user['homedir']."/\".";

-    if (strstr($acc['mailbox'], '..') or ! preg_match('/^[a-z0-9.\/_-]*$/', $acc['mailbox']))

+      return "Die Mailbox muss innerhalb des Home-Verzeichnisses liegen. Sie haben »".$acc['mailbox']."« als Mailbox angegeben, Ihr Home-Verzeichnis ist »".$user['homedir']."/«.";

+    if (! check_path($acc['mailbox']))

       return "Sie verwenden ungültige Zeichen in Ihrem Mailbox-Pfad.";

   }

   if ($acc['account'] == '' || strpos($acc['account'], '@') == 0)

     return "Es wurde kein Benutzername angegeben!";

   if (strpos($acc['account'], '@') === false)

-    return "Es wurde kein Domain-Teil im Account-Name angegeben. Account-Namen müssen einen Domain-Teil enthalten. Im Zweifel versuchen Sie "@schokokeks.org".";

+    return "Es wurde kein Domain-Teil im Account-Name angegeben. Account-Namen müssen einen Domain-Teil enthalten. Im Zweifel versuchen Sie »@schokokeks.org«.";

   list($local, $domain) = explode('@', $acc['account'], 2);

+  if ($local != filter_input_username($local))

+    return "Sie haben ungültige Zeichen im Accountname benutzt!";

   $tmpdomains = get_domain_list($user['customerno'], $user['uid']);

   $domains = array();

   foreach ($tmpdomains as $dom)

@@ -155,11 +158,11 @@ function check_valid($acc)

     {

       if (substr($local, 0, strlen($user['username'])) != $user['username'] || ($acc['account'][strlen($user['username'])] != '-' && $acc['account'][strlen($user['username'])] != '@'))

       {

-        return "Sie haben "@schokokeks.org" als Domain-Teil angegeben, aber der Benutzer-Teil beginnt nicht mit Ihrem Benutzername!";

+        return "Sie haben »@schokokeks.org« als Domain-Teil angegeben, aber der Benutzer-Teil beginnt nicht mit Ihrem Benutzername!";

       }

     }

     else

-      return "Der angegebene Domain-Teil (".htmlentities($domain, ENT_QUOTES, "UTF-8").") ist nicht für Ihren Account eingetragen. Sollte dies ein Fehler sein, wenden sie sich bitte an einen Administrator!";

+      return "Der angegebene Domain-Teil (»".htmlentities($domain, ENT_QUOTES, "UTF-8")."«) ist nicht für Ihren Account eingetragen. Sollte dies ein Fehler sein, wenden sie sich bitte an einen Administrator!";

   }

   return '';