webinterface.git

@@ -59,18 +59,25 @@ function filter_input_general($input)

     if ($input === null) {

         return null;

     }

-    return htmlspecialchars(iconv('UTF-8', 'UTF-8', $input), ENT_QUOTES, 'UTF-8');

+    $filtered = preg_replace('/[\x00-\x09\x0b-\x0c\x0e-\x1f]/', '', $input);

+    if ($filtered !== $input) {

+        system_failure("Ihre Daten enthielten ungültige Zeichen!");

+        logger(LOG_WARNING, 'inc/security', 'filter_input_general', 'Ungültige Daten!');

+    }

+    return $filtered;

 }

-

-function verify_input_general($input)

+function filter_input_oneline($input)

 {

-    if (filter_input_general($input) !== $input) {

+    if ($input === null) {

+        return null;

+    }

+    $filtered = preg_replace('/[\x00-\x1f]/', '', $input);

+    if ($filtered !== $input) {

         system_failure("Ihre Daten enthielten ungültige Zeichen!");

-        logger(LOG_WARNING, 'inc/security', 'verify_input_general', 'Ungültige Daten: '.$input);

-    } else {

-        return $input;

+        logger(LOG_WARNING, 'inc/security', 'filter_input_general', 'Ungültige Daten!');

     }

+    return $filtered;

 }

@@ -80,6 +87,31 @@ function filter_output_html($data)

 }

+function verify_input_ascii($data)

+{

+    $filtered = filter_var($data, FILTER_UNSAFE_RAW, FILTER_FLAG_STRIP_LOW | FILTER_FLAG_STRIP_HIGH);

+    if ($filtered != $data) {

+        logger(LOG_WARNING, 'inc/security', 'verify_input_ascii', 'Ungültige Daten: '.$data);

+        system_failure("Ihre Eingabe enthielt ungültige Zeichen");

+    }

+    return $filtered;

+}

+

+

+function verify_input_identifier($data)

+{

+    if ($data === "") {

+        system_failure("Leerer Bezeichner");

+    }

+    $filtered = preg_replace("/[^[:alnum:]\_\.\-]/", "", $data);

+    if ($filtered !== $data) {

+        logger(LOG_WARNING, 'inc/security', 'verify_input_identifier', 'Ungültige Daten: '.$data);

+        system_failure("Ihre Daten enthielten ungültige Zeichen!");

+

+    }

+    return $filtered;

+}

+

 function filter_input_username($input)

 {

@@ -102,12 +134,9 @@ function verify_input_username($input)

 function filter_input_hostname($input, $wildcard=false)

 {

-    // FIXME: Eine "filter"-Funktion sollte keinen system_failure verursachen sondern einfach einen bereinigten String liefern.

-

     DEBUG('filter_input_hostname("'.$input.'", $wildcard='.$wildcard.')');

     $input = strtolower($input);

-    $input = rtrim($input, "\t\n\r\x00 .");

-    $input = ltrim($input, "\t\n\r\x00 .");

+    $input = trim($input, "\t\n\r\x00 .");

     if (preg_replace("/[^.]_/", "", $input) != $input) {

         system_failure("Der Unterstrich ist nur als erstes Zeichen eines Hostnames erlaubt.");

     }

@@ -142,7 +171,7 @@ function verify_input_hostname_utf8($input)

         system_failure("Ungültiger Hostname! idn ".$input);

     }

     $filter = filter_var($puny, FILTER_VALIDATE_DOMAIN, FILTER_FLAG_HOSTNAME);

-    if ($filter === false) {

+    if ($filter !== $puny) {

         system_failure("Ungültiger Hostname! filter ".$input);

     }

 }

@@ -31,6 +31,6 @@ check_form_token('adddomain_add');

 register_domain($_REQUEST['domain'], $_REQUEST['uid']);

-success_msg('Domain »'.filter_input_general($_REQUEST['domain']).'« wurde eingetragen!');

+success_msg('Domain »'.filter_output_html($_REQUEST['domain']).'« wurde eingetragen!');

 redirect('search');

@@ -61,26 +61,26 @@ $buttons = '<span class="buttonset" id="buttonset-salutation">

          <input type="radio" name="salutation" id="salutation-frau" value="Frau" '.($c['salutation'] === 'Frau' ? 'checked="checked"' : '').'/>

          <label for="salutation-frau">Frau</label>';

 $html .= '    <tr class="'.($odd == true ? 'odd' : 'even').'"><td>Bevorzugte Anrede:</td><td>'.$buttons.'</td></tr>';

-$html .= '    <tr class="'.($odd == true ? 'odd' : 'even').'"><td>Firmenname:</td><td><input type="text" name="firma" id="firma" value="'.$c['company'].'" '.$readonly.' /></td></tr>';

+$html .= '    <tr class="'.($odd == true ? 'odd' : 'even').'"><td>Firmenname:</td><td><input type="text" name="firma" id="firma" value="'.filter_output_html($c['company']).'" '.$readonly.' /></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td>'.($c['company'] ? 'Ansprechpartner' : 'Name').':</td><td><input type="text" name="name" id="name" value="'.$c['name'].'" '.$readonly.' /></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td>'.($c['company'] ? 'Ansprechpartner' : 'Name').':</td><td><input type="text" name="name" id="name" value="'.filter_output_html($c['name']).'" '.$readonly.' /></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="adresse">Adresse:</label></td><td><textarea rows="3" name="adresse" id="adresse">'.$c['address'].'</textarea></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="adresse">Adresse:</label></td><td><textarea rows="3" name="adresse" id="adresse">'.filter_output_html($c['address']).'</textarea></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="plz">Land / PLZ:</label></td><td><input size="2" type="text" name="land" id="land" value="'.$c['country'].'" '.$readonly.' />-</strong><input type="text" name="plz" id="plz" value="'.$c['zip'].'"></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="plz">Land / PLZ:</label></td><td><input size="2" type="text" name="land" id="land" value="'.filter_output_html($c['country']).'" '.$readonly.' />-</strong><input type="text" name="plz" id="plz" value="'.filter_output_html($c['zip']).'"></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="ort">Ort:</label></td><td><input type="text" name="ort" id="ort" value="'.$c['city'].'"></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="ort">Ort:</label></td><td><input type="text" name="ort" id="ort" value="'.filter_output_html($c['city']).'"></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="email">E-Mail-Adresse:</label></td><td><input type="text" name="email" id="email" value="'.$c['email'].'"></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="email">E-Mail-Adresse:</label></td><td><input type="text" name="email" id="email" value="'.filter_output_html($c['email']).'"></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="telefon">Telefonnummer:</label></td><td><input type="text" name="telefon" id="telefon" value="'.$c['phone'].'"><span id="telefon_feedback"></span></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="telefon">Telefonnummer:</label></td><td><input type="text" name="telefon" id="telefon" value="'.filter_output_html($c['phone']).'"><span id="telefon_feedback"></span></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="telefon">Mobil:</label></td><td><input type="text" name="mobile" id="mobile" value="'.$c['mobile'].'"><span id="mobile_feedback"></span></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="telefon">Mobil:</label></td><td><input type="text" name="mobile" id="mobile" value="'.filter_output_html($c['mobile']).'"><span id="mobile_feedback"></span></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="telefon">Telefax:</label></td><td><input type="text" name="telefax" id="telefax" value="'.$c['fax'].'"><span id="telefax_feedback"></span></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="telefon">Telefax:</label></td><td><input type="text" name="telefax" id="telefax" value="'.filter_output_html($c['fax']).'"><span id="telefax_feedback"></span></td></tr>';

 $odd = !$odd;

 if ($domains) {

@@ -93,9 +93,9 @@ if ($domains) {

          <input type="radio" name="usepgp" id="usepgp-no" value="no" '.($c['pgp_id'] ? '' : 'checked="checked"').'/>

          <label for="usepgp-no">kein PGP</label>';

  $html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="buttonset-usepgp">PGP-Verschlüsselung:</label></td><td>'.$buttons.'</td></tr>';

- $html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="pgpid">PGP-Key-ID:</label></td><td><input type="text" name="pgpid" id="pgpid" value="'.$c['pgp_id'].'" size="40"><button id="searchpgp" type="button">Auf Keyserver suchen</button><span id="pgpid_feedback"></span></td></tr>';

+ $html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="pgpid">PGP-Key-ID:</label></td><td><input type="text" name="pgpid" id="pgpid" value="'.filter_output_html($c['pgp_id']).'" size="40"><button id="searchpgp" type="button">Auf Keyserver suchen</button><span id="pgpid_feedback"></span></td></tr>';

 $odd = !$odd;

-$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="pgpkey">PGP-Key (ASCII-Armored):</label></td><td><textarea name="pgpkey" id="pgpkey">'.$c['pgp_key'].'</textarea></td></tr>';

+$html .= '<tr class="'.($odd == true ? 'odd' : 'even').'"><td><label for="pgpkey">PGP-Key (ASCII-Armored):</label></td><td><textarea name="pgpkey" id="pgpkey">'.filter_output_html($c['pgp_key']).'</textarea></td></tr>';

 $odd = !$odd;

 $html .= '<tr class="even"><td>&nbsp;</td><td><input type="submit" value="Speichern" /></td></tr>';

@@ -118,7 +118,7 @@ if ($domains) {

     output('<p>Folgende Domains sind von dieser Änderung betroffen:</p>

             <ul>');

     foreach ($domains as $dom) {

-        output('<li>'.$dom->fqdn.'</li>');

+        output('<li>'.filter_output_html($dom->fqdn).'</li>');

     }

     output('</ul>');

 }

@@ -416,27 +416,27 @@ function domainlist_by_contact($c)

 function contact_as_string($contact)

 {

-    $adresse = nl2br("\n".filter_input_general($contact['address'])."\n".filter_input_general($contact['country']).'-'.filter_input_general($contact['zip']).' '.filter_input_general($contact['city']));

+    $adresse = nl2br(filter_output_html("\n".$contact['address']."\n".$contact['country'].'-'.$contact['zip'].' '.$contact['city']));

     if (! $contact['city']) {

         $adresse = '';

     }

-    $name = filter_input_general($contact['name']);

+    $name = filter_output_html($contact['name']);

     if ($contact['company']) {

-        $name = filter_input_general($contact['company'])."<br />".filter_input_general($contact['name']);

+        $name = filter_output_html($contact['company'])."<br />".filter_output_html($contact['name']);

     }

-    $email = filter_input_general($contact['email']);

+    $email = filter_output_html($contact['email']);

     $new_email = update_pending($contact['id']);

     if ($new_email) {

-        $email = "<strike>$email</strike><br/>".filter_input_general($new_email).footnote('Die E-Mail-Adresse wurde noch nicht bestätigt');

+        $email = "<strike>$email</strike><br/>".filter_output_html($new_email).footnote('Die E-Mail-Adresse wurde noch nicht bestätigt');

     }

-    $email = implode("<br>\n", array_filter(array($email, filter_input_general($contact['phone']), filter_input_general($contact['fax']), filter_input_general($contact['mobile']))));

+    $email = implode("<br>\n", array_filter(array($email, filter_output_html($contact['phone']), filter_output_html($contact['fax']), filter_output_html($contact['mobile']))));

     $pgp = '';

     if ($contact['pgp_id']) {

         $pgpid = $contact['pgp_id'];

         if (strlen($pgpid) > 20) {

             $pgpid = substr($pgpid, 0, 20).' '.substr($pgpid, 20);

         }

-        $pgp = '<p class="contact-pgp">'.other_icon('key.png').' PGP ID:<br>'.$pgpid.'</p>';

+        $pgp = '<p class="contact-pgp">'.other_icon('key.png').' PGP ID:<br>'.filter_output_html($pgpid).'</p>';

     }

     $contact_string = "<p class=\"contact-id\">#{$contact['id']}</p><p class=\"contact-address\"><strong>$name</strong>$adresse</p><p class=\"contact-contact\">$email</p>$pgp";

@@ -92,14 +92,14 @@ if (isset($_REQUEST['action']) && $_REQUEST['action'] == 'delete') {

     } elseif ($_REQUEST['salutation'] == 'Frau') {

         $c['salutation'] = 'Frau';

     }

-    $c['company'] = verify_input_general(maybe_null($_REQUEST['firma']));

-    $c['name'] = verify_input_general(maybe_null($_REQUEST['name']));

-    $c['address'] = verify_input_general(maybe_null($_REQUEST['adresse']));

-    $c['country'] = verify_input_general(maybe_null(strtoupper($_REQUEST['land'])));

-    $c['zip'] = verify_input_general(maybe_null($_REQUEST['plz']));

-    $c['city'] = verify_input_general(maybe_null($_REQUEST['ort']));

+    $c['company'] = filter_input_general(maybe_null($_REQUEST['firma']));

+    $c['name'] = filter_input_general(maybe_null($_REQUEST['name']));

+    $c['address'] = filter_input_general(maybe_null($_REQUEST['adresse']));

+    $c['country'] = filter_input_oneline(maybe_null(strtoupper($_REQUEST['land'])));

+    $c['zip'] = filter_input_oneline(maybe_null($_REQUEST['plz']));

+    $c['city'] = filter_input_oneline(maybe_null($_REQUEST['ort']));

     if ($new && isset($_REQUEST['email'])) {

-        $c['email'] = verify_input_general(maybe_null($_REQUEST['email']));

+        $c['email'] = filter_input_oneline(maybe_null($_REQUEST['email']));

         if (!check_emailaddr($c['email'])) {

             system_failure("Ungültige E-Mail-Adresse!");

         }

@@ -107,7 +107,7 @@ if (isset($_REQUEST['action']) && $_REQUEST['action'] == 'delete') {

     if (isset($_REQUEST['telefon']) && $_REQUEST['telefon'] != '') {

-        $num = format_number(verify_input_general($_REQUEST['telefon']), $_REQUEST['land']);

+        $num = format_number(filter_input_oneline($_REQUEST['telefon']), $_REQUEST['land']);

         if ($num) {

             $c['phone'] = $num;

         } else {

@@ -117,9 +117,13 @@ if (isset($_REQUEST['action']) && $_REQUEST['action'] == 'delete') {

         $c['phone'] = null;

     }

     if (isset($_REQUEST['mobile']) && $_REQUEST['mobile'] != '') {

-        $num = format_number(verify_input_general($_REQUEST['mobile']), $_REQUEST['land']);

+        $num = format_number(filter_input_oneline($_REQUEST['mobile']), $_REQUEST['land']);

         if ($num) {

             $c['mobile'] = $num;

+            if (! $c['phone']) {

+                // dupliziere die Mobiltelefonnummer als normale Nummer wegen der Nutzung als Domainhandles

+                $c['phone'] = $num;

+            }

         } else {

             system_failure('Die eingegebene Mobiltelefonnummer scheint nicht gültig zu sein!');

         }

@@ -127,7 +131,7 @@ if (isset($_REQUEST['action']) && $_REQUEST['action'] == 'delete') {

         $c['mobile'] = null;

     }

     if (isset($_REQUEST['telefax']) && $_REQUEST['telefax'] != '') {

-        $num = format_number(verify_input_general($_REQUEST['telefax']), $_REQUEST['land']);

+        $num = format_number(filter_input_oneline($_REQUEST['telefax']), $_REQUEST['land']);

         if ($num) {

             $c['fax'] = $num;

         } else {

@@ -188,9 +192,9 @@ if (isset($_REQUEST['action']) && $_REQUEST['action'] == 'delete') {

     $id = save_contact($c);

     $c['id'] = $id;

-    if (isset($_REQUEST['email']) && ($new || $c['email'] != $_REQUEST['email'])) {

+    if (isset($_REQUEST['email']) && check_emailaddr($_REQUEST['email']) && ($new || $c['email'] != $_REQUEST['email'])) {

         if (have_mailaddress($_REQUEST['email'])) {

-            save_emailaddress($c['id'], verify_input_general($_REQUEST['email']));

+            save_emailaddress($c['id'], $_REQUEST['email']);

         } else {

             send_emailchange_token($c['id'], $_REQUEST['email']);

         }

@@ -37,12 +37,12 @@ function contract_html()

     $kundenkontakte = get_kundenkontakte();

     $kunde = get_contact($kundenkontakte['kunde']);

-    $adresse = nl2br("\n".filter_input_general($kunde['address'])."\n".filter_input_general($kunde['country']).'-'.filter_input_general($kunde['zip']).' '.filter_input_general($kunde['city']));

-    $name = filter_input_general($kunde['name']);

+    $adresse = nl2br("\n".filter_output_html($kunde['address']."\n".$kunde['country'].'-'.$kunde['zip'].' '.$kunde['city']));

+    $name = filter_output_html($kunde['name']);

     if ($kunde['company']) {

-        $name = filter_input_general($kunde['company'])."<br />".filter_input_general($kunde['name']);

+        $name = filter_output_html($kunde['company'])."<br />".filter_output_html($kunde['name']);

     }

-    $email = filter_input_general($kunde['email']);

+    $email = filter_output_html($kunde['email']);

     $address = "<strong>$name</strong>$adresse</p><p>E-Mail-Adresse: $email";

     $date = date('d.m.Y');

@@ -30,8 +30,8 @@ $domain->ensure_userdomain();

 DEBUG($domain);

-title('DNS-Records für '.filter_input_general($domain->fqdn));

-headline('DNS-Records für <em>'.filter_input_general($domain->fqdn).'</em>');

+title('DNS-Records für '.filter_output_html($domain->fqdn));

+headline('DNS-Records für <em>'.filter_output_html($domain->fqdn).'</em>');

 if ($domain->provider != 'terions' || $domain->billing != 'regular' || $domain->registrierungsdatum == null || $domain->kuendigungsdatum != null) {

     $state = check_dns($domain->domainname, $domain->tld);

@@ -58,7 +58,7 @@ output('<table><tr><th>Hostname</th><th>Typ</th><th>IP-Adresse/Inhalt</th><th>TT

 ');

 foreach ($records as $rec) {

     $editable = true;

-    $data = filter_input_general($rec['ip'] ? $rec['ip'] : $rec['data']);

+    $data = filter_output_html($rec['ip'] ? $rec['ip'] : $rec['data']);

     if ($rec['dyndns']) {

         if ($domain->fqdn == config('masterdomain')) {

             $data = '<em>DynDNS #'.(int) $rec['dyndns'].'</em>';

@@ -68,7 +68,7 @@ foreach ($records as $rec) {

             if ($dyndns === null) {

                 $data = '<em>DynDNS #'.(int) $rec['dyndns'].' (nicht Ihr Account)</em>';

             } else {

-                $data = internal_link('dyndns_edit', '<em>DynDNS #'.(int) $rec['dyndns'].' ('.filter_input_general($dyndns['handle']).')</em>', 'id='.(int) $rec['dyndns']);

+                $data = internal_link('dyndns_edit', '<em>DynDNS #'.(int) $rec['dyndns'].' ('.filter_output_html($dyndns['handle']).')</em>', 'id='.(int) $rec['dyndns']);

             }

         }

     }

@@ -97,7 +97,7 @@ foreach ($records as $rec) {

     output("<tr><td>{$link}</td><td>".strtoupper($rec['type'])."</td><td>".$data."</td><td>{$ttl} Sek.</td><td>".$delete."</td></tr>\n");

 }

 foreach ($auto_records as $rec) {

-    $data = filter_input_general($rec['ip'] ? $rec['ip'] : $rec['data']);

+    $data = filter_output_html($rec['ip'] ? $rec['ip'] : $rec['data']);

     $ttl = ($rec['ttl'] ? $rec['ttl'] : 3600);

     output("<tr><td><em>{$rec['fqdn']}</em></td><td>".strtoupper($rec['type'])."</td><td>$data</td><td>{$ttl} Sek.</td><td>&#160;</td></tr>\n");

 }

@@ -118,7 +118,7 @@ if ($type == 'ptr' || $type == 'cname') {

 if ($type == 'spf' || $type == 'txt') {

     $form .= '

-<tr><td><label for="data">Inhalt:</label></td><td><input type="text" name="data" id="data" value="'.filter_input_general($data['data']).'" /></td></tr>

+<tr><td><label for="data">Inhalt:</label></td><td><input type="text" name="data" id="data" value="'.filter_output_html($data['data']).'" /></td></tr>

 ';

 }

@@ -140,7 +140,7 @@ if ($type == 'sshfp') {

     $form .= '

 <tr><td><label for="spec">Algorithmus:</label></td><td><select name="spec" id="spec">'.$option.'</select></td></tr>

-<tr><td><label for="data">Fingerabdruck:</label></td><td><input type="text" name="data" id="data" value="'.$data['data'].'" /></td></tr>

+<tr><td><label for="data">Fingerabdruck:</label></td><td><input type="text" name="data" id="data" value="'.filter_output_html($data['data']).'" /></td></tr>

 ';

 }

@@ -25,7 +25,7 @@ require_once('dnsinclude.php');

 $section = 'dns_dyndns';

 $dyndns = get_dyndns_account($_REQUEST['id']);

-title("Hostnames für DynDNS-Account ".filter_input_general($dyndns['handle']));

+title("Hostnames für DynDNS-Account ".filter_output_html($dyndns['handle']));

 $available_domains = array();

@@ -53,7 +53,7 @@ if ($records) {

 output('<h4>Neuen Hostname festlegen</h4>');

-$form = '<p><label for="hostname">Neuer Hostname: </label> <input type="text" name="hostname" id="hostname" value="'.$dyndns['handle'].'" />&#160;.&#160;'.html_select('domain', $available_domains).' </p>

+$form = '<p><label for="hostname">Neuer Hostname: </label> <input type="text" name="hostname" id="hostname" value="'.filter_output_html($dyndns['handle']).'" />&#160;.&#160;'.html_select('domain', $available_domains).' </p>

 <p>Typ: <select name="type"><option value="a" selected="selected">A / IPv4</option><option value="aaaa">AAAA / IPv6</option></select></p>

 <p><input type="submit" value="Speichern"/></p>';

@@ -62,7 +62,7 @@ function create_dyndns_account($handle, $password_http, $sshkey)

         system_failure('Sie müssen entweder einen SSH-Key oder ein Passwort zum Web-Update eingeben.');

     }

-    $handle = filter_input_username($handle);

+    $handle = verify_input_identifier($handle);

     if (strlen(trim($sshkey)) == 0) {

         $sshkey = null;

@@ -94,9 +94,9 @@ function edit_dyndns_account($id, $handle, $password_http, $sshkey)

 {

     $id = (int) $id;

     $oldaccount = get_dyndns_account($id);

-    $handle = filter_input_username($handle);

-    $sshkey = filter_input_general($sshkey);

-    if (chop($sshkey) == '') {

+    $handle = verify_input_identifier($handle);

+    $sshkey = verify_input_ascii($sshkey);

+    if (trim($sshkey) == '') {

         $sshkey = null;

     }

@@ -41,10 +41,10 @@ if (isset($_REQUEST['domain'])) {

     if (substr($request, 0, 4) == 'www.') {

         $request = str_replace('www.', '', $request);

     }

-    verify_input_general($request);

+    verify_input_hostname_utf8($request);

     $punycode = idn_to_ascii($request, 0, INTL_IDNA_VARIANT_UTS46);

     if (!check_domain($punycode)) {

-        warning("Ungültiger Domainname: ".filter_input_general($request));

+        warning("Ungültiger Domainname: ".filter_output_html($request));

         redirect('');

     }

     $dom = new Domain();

@@ -58,7 +58,7 @@ if (isset($_REQUEST['domain'])) {

     }

     $avail = api_domain_available($request);

     if ($avail['status'] == 'available') {

-        output('<p class="domain-available">Die Domain '.filter_input_general($request).' ist verfügbar!</p>');

+        output('<p class="domain-available">Die Domain '.filter_output_html($request).' ist verfügbar!</p>');

         # Neue Domain eintragen

         $data = get_domain_offer($avail['domainSuffix']);

         if ($data === false) {

@@ -66,20 +66,20 @@ if (isset($_REQUEST['domain'])) {

         } else {

             $form = '<p>Folgende Konditionen gelten bei Registrierung der Domain im nächsten Schritt:</p>

                 <table>

-                <tr><td>Domainname:</td><td><strong>'.filter_input_general($request).'</strong></td></tr>

+                <tr><td>Domainname:</td><td><strong>'.filter_output_html($request).'</strong></td></tr>

                 <tr><td>Jahresgebühr:</td><td style="text-align: right;">'.$data['gebuehr'].' €'.footnote('Bruttobetrag inkl. 19% deutsche USt. Nettopreise für innergemeinschaftlichen Handel können vom Support eingetragen werden.').'</td></tr>';

             if ($data['setup']) {

                 $form .= '<tr><td>Setup-Gebühr (einmalig):</td><td style="text-align: right;">'.$data['setup'].' €'.footnote('Bruttobetrag inkl. 19% deutsche USt. Nettopreise für innergemeinschaftlichen Handel können vom Support eingetragen werden.').'</td></tr>';

             }

             $form .='</table>';

-            $form .= '<p><input type="hidden" name="domain" value="'.filter_input_general($request).'">

+            $form .= '<p><input type="hidden" name="domain" value="'.filter_output_html($request).'">

                 <input type="submit" name="submit" value="Ich möchte diese Domain registrieren"></p>';

             output(html_form('domains_register', 'domainreg', '', $form));

             output('<p>'.internal_link('domains', 'Zurück').'</p>');

         }

     } elseif ($avail['status'] == 'registered' || $avail['status'] == 'alreadyRegistered') {

-        output('<p class="domain-unavailable">Die Domain '.filter_input_general($request).' ist bereits vergeben.</p>');

+        output('<p class="domain-unavailable">Die Domain '.filter_output_html($request).' ist bereits vergeben.</p>');

         output('<h3>Domain zu '.config('company_name').' umziehen</h3>');

         if ($avail['status'] == 'registered' && $avail['transferMethod'] != 'authInfo') {

@@ -92,7 +92,7 @@ if (isset($_REQUEST['domain'])) {

             } else {

                 $form = '<p>Folgende Konditionen gelten beim Transfer der Domain im nächsten Schritt:</p>

                     <table>

-                    <tr><td>Domainname:</td><td><strong>'.filter_input_general($avail['domainNameUnicode']).'</strong></td></tr>

+                    <tr><td>Domainname:</td><td><strong>'.filter_output_html($avail['domainNameUnicode']).'</strong></td></tr>

                     <tr><td>Jahresgebühr:</td><td style="text-align: right;">'.$data['gebuehr'].' €'.footnote('Bruttobetrag inkl. 19% deutsche USt. Nettopreise für innergemeinschaftlichen Handel können vom Support eingetragen werden.').'</td></tr>';

                 if ($data['setup']) {

                     $form .= '<tr><td>Setup-Gebühr (einmalig):</td><td style="text-align: right;">'.$data['setup'].' €'.footnote('Bruttobetrag inkl. 19% deutsche USt. Nettopreise für innergemeinschaftlichen Handel können vom Support eingetragen werden.').'</td></tr>';

@@ -100,7 +100,7 @@ if (isset($_REQUEST['domain'])) {

                 $form .='</table>';

-                $form .= '<p><input type="hidden" name="domain" value="'.filter_input_general($avail['domainNameUnicode']).'">

+                $form .= '<p><input type="hidden" name="domain" value="'.filter_output_html($avail['domainNameUnicode']).'">

                     <input type="submit" name="submit" value="Ich möchte diese Domain zu '.config('company_name').' umziehen"></p>';

                 output(html_form('domains_transferin', 'domainreg', '', $form));

@@ -126,12 +126,12 @@ if (isset($_REQUEST['domain'])) {

             <label for="option-email-disable">Nicht für E-Mail nutzen</label>

             </p>';

-        $form .= '<p><input type="hidden" name="domain" value="'.filter_input_general($request).'">

+        $form .= '<p><input type="hidden" name="domain" value="'.filter_output_html($request).'">

             <input type="submit" name="submit" value="Diese Domain bei '.config('company_name').' verwenden"></p>';

         output(html_form('domains_external', 'useexternal', '', $form));

     } else {

-        output('<p class="domain-unavailable">Die Domain '.filter_input_general($request).' kann nicht registriert werden.</p>');

+        output('<p class="domain-unavailable">Die Domain '.filter_output_html($request).' kann nicht registriert werden.</p>');

         switch ($avail['status']) {

             case 'nameContainsForbiddenCharacter':

@@ -34,10 +34,10 @@ if (isset($_REQUEST['domain'])) {

     if (substr($request, 0, 4) == 'www.') {

         $request = str_replace('www.', '', $request);

     }

-    verify_input_general($request);

+    verify_input_hostname_utf8($request);

     $punycode = idn_to_ascii($request, 0, INTL_IDNA_VARIANT_UTS46);

     if (!check_domain($punycode)) {

-        warning("Ungültiger Domainname: ".filter_input_general($request));

+        warning("Ungültiger Domainname: ".filter_output_html($request));

         redirect('adddomain');

     }

     $dom = new Domain();

@@ -170,7 +170,7 @@ $form .='</table>';

 $form .= '<p>Mit dieser Bestellung geben Sie eine verbindliche Willenserklärung ab, diese Domain registrieren zu wollen. Sie treten in ein Vertragsverhältnis zu '.config('company_name').' unter dem Vorbehalt, dass die Domain registriert werden kann. Die Hoheit über die Vergabe der Domains hat die jeweils zuständige Registrierungsstelle. Es gelten die Vergabe-Bedingungen der jeweils zuständigen Registrierungsstelle.</p>

 <p>Der Domain-Vertrag beginnt mit Zuteilung der Domain durch die Regisrierungsstelle und läuft jeweils '.$pricedata['interval'].' Monate. Er verlängert sich stets automatisch um weitere '.$pricedata['interval'].' Monate, wenn nicht bis 14 Tage vor Ende der Laufzeit eine Kündigung vorliegt.</p>';

-$form .= '<p><input type="hidden" name="domain" value="'.filter_input_general($dom->fqdn).'">

+$form .= '<p><input type="hidden" name="domain" value="'.filter_output_html($dom->fqdn).'">

 <input type="submit" name="submit" value="Kostenpflichtigen Vertrag abschließen"></p>';

 output(html_form('domains_domainreg', 'domainreg_save', '', $form));

 output('<p>'.internal_link('domains', 'Zurück').'</p>');

@@ -30,10 +30,10 @@ $request = idn_to_utf8($_REQUEST['domain'], 0, INTL_IDNA_VARIANT_UTS46);

 if (substr($request, 0, 4) == 'www.') {

     $request = str_replace('www.', '', $request);

 }

-verify_input_general($request);

+verify_input_hostname_utf8($request);

 $punycode = idn_to_ascii($request, 0, INTL_IDNA_VARIANT_UTS46);

 if (!check_domain($punycode)) {

-    warning("Ungültiger Domainname: ".filter_input_general($request));

+    warning("Ungültiger Domainname: ".filter_output_html($request));

     redirect('');

 }

@@ -39,7 +39,7 @@ if ($_SESSION['role'] == ROLE_VMAIL_ACCOUNT) {

     $id = get_vmail_id_by_emailaddr($_SESSION['mailaccount']);

     $account = get_account_details($id, false);

     $accountlogin = true;

-    $accountname = filter_input_general($_SESSION['mailaccount']);

+    $accountname = filter_output_html($_SESSION['mailaccount']);

 }

@@ -79,7 +79,7 @@ if (! $accountlogin) {

             $domain = (int) $_GET['domain'];

         }

         $form .= "

-    <p><strong>E-Mail-Adresse:</strong>&#160;<input type=\"text\" name=\"local\" id=\"local\" size=\"10\" value=\"{$account['local']}\" /><strong style=\"font-size: 1.5em;\">&#160;@&#160;</strong>".domainselect($domain)."</p>";

+    <p><strong>E-Mail-Adresse:</strong>&#160;<input type=\"text\" name=\"local\" id=\"local\" size=\"10\" value=\"".filter_output_html($account['local'])."\" /><strong style=\"font-size: 1.5em;\">&#160;@&#160;</strong>".domainselect($domain)."</p>";

     }

     $password_message = '';

     $password_value = '';

@@ -150,10 +150,7 @@ $form .= "<p><input type=\"radio\" name=\"ar_valid_until\" value=\"infinity\" id

   "<input type=\"text\" value=\"$enddate\" id=\"ar_enddate\" name=\"ar_enddate\" /><br/><small>(Automatische Antworten sind nur befristet erlaubt. Benötigen Sie langfristig funktionierende automatische Antworten, sprechen Sie unsere Administratoren bitte an, dann suchen wir eine Lösung.)</small></p>";

 */

-$subject = filter_input_general($ar['subject']);

-if ($subject == null) {

-    $subject = '';

-}

+$subject = filter_output_html($ar['subject']);

 $ar_subject_default_checked = ($subject == null) ? ' checked="checked"' : '';

 $ar_subject_custom_checked = ($subject) ? ' checked="checked"' : '';

 $form .= "<h4>Betreffzeile der automatischen Antwort</h4>".

@@ -162,9 +159,9 @@ $form .= "<h4>Betreffzeile der automatischen Antwort</h4>".

   "<input type=\"radio\" name=\"ar_subject\" value=\"custom\" id=\"ar_subject_custom\"{$ar_subject_custom_checked} /> ".

   "<label for=\"ar_subject_custom\">Anderer Betreff:</label> <input type=\"text\" name=\"ar_subject_value\" id=\"ar_subject_value\" value=\"{$subject}\"/></p>";

-$message = filter_input_general($ar['message']);

+$message = filter_output_html($ar['message']);

 $form .= "<h4>Inhalt der automatischen Antwort</h4>".

-  "<p><textarea cols=\"80\" rows=\"10\" name=\"ar_message\" id=\"ar_message\">".filter_input_general($ar['message'])."</textarea></p>";

+  "<p><textarea cols=\"80\" rows=\"10\" name=\"ar_message\" id=\"ar_message\">{$message}</textarea></p>";

 $quote = $ar['quote'];

 if (! $quote) {

     $quote = 'none';

@@ -178,7 +175,7 @@ $form .= "<p><label for=\"ar_quote\">Originalnachricht des Absenders </label>".

 $ar_from_default_checked = ($ar['fromname'] == null) ? ' checked="checked"' : '';

 $ar_from_custom_checked = ($ar['fromname'] != null) ? ' checked="checked"' : '';

-$fromname = filter_input_general($ar['fromname']);

+$fromname = filter_output_html($ar['fromname']);

 $form .= "<h4>Absender der automatischen Antwort</h4>".

   "<p><input type=\"radio\" name=\"ar_from\" value=\"default\" id=\"ar_from_default\"{$ar_from_default_checked} /> <label for=\"ar_from_default\">Nur E-Mail-Adresse</label><br />".

   "<input type=\"radio\" name=\"ar_from\" value=\"custom\" id=\"ar_from_custom\"{$ar_from_custom_checked} /> <label for=\"ar_from_custom\">Mit Name: </label> ".

@@ -211,7 +208,7 @@ for ($i = 0 ; $i < max($numforwards, 10) ; $i++) {

     $num = $i+1;

     $form .= "<div class=\"vmail-forward\" id=\"vmail_forward_{$num}\">

   <div style=\"float: right;\" class=\"delete_forward\">".icon_delete("Diese Weiterleitung entfernen")."</div>

-  <p>Weiterleiten an <input type=\"text\" id=\"forward_to_{$num}\" name=\"forward_to_{$num}\" value=\"{$account['forwards'][$i]['destination']}\" /></p>

+  <p>Weiterleiten an <input type=\"text\" id=\"forward_to_{$num}\" name=\"forward_to_{$num}\" value=\"".filter_output_html($account['forwards'][$i]['destination'])."\" /></p>

   </div>\n";

 }

 $form .= '</div>';

@@ -125,10 +125,10 @@ if (isset($_GET['action']) && $_GET['action'] == 'save') {

     <p>Soll der folgende Account wirklich gelöscht werden?</p>

     <table style="margin-bottom: 1em;">

       <tr><td>Benutzername:</td>

-        <td>'.filter_input_general($account['account']).'</td>

+        <td>'.filter_output_html($account['account']).'</td>

       </tr>

       <tr><td>Mailbox:</td>

-        <td>'.filter_input_general($account['mailbox']).'</td>

+        <td>'.filter_output_html($account['mailbox']).'</td>

       </tr>

       <tr><td>Konto aktiv:</td>

         <td>'.$enabled.'</td>

@@ -265,9 +265,8 @@ function save_vmail_account($account)

     $forwards = array();

     if (count($account['forwards']) > 0) {

         for ($i = 0 ; $i < count($account['forwards']) ; $i++) {

-            $account['forwards'][$i]['destination'] = filter_input_general($account['forwards'][$i]['destination']);

             if (! check_emailaddr($account['forwards'][$i]['destination'])) {

-                system_failure('Das Weiterleitungs-Ziel »'.$account['forwards'][$i]['destination'].'« ist keine E-Mail-Adresse!');

+                system_failure('Das Weiterleitungs-Ziel »'.filter_output_html($account['forwards'][$i]['destination']).'« ist keine E-Mail-Adresse!');

             }

         }

     }

@@ -44,7 +44,7 @@ output('<p>Mit dieser Funktion können Sie eine E-Mail-Adresse stilllegen (so we

 <p><strong>Wichtig:</strong> Dieses Verfahren funktioniert nur, wenn die E-Mails wirklich nicht angenommen werden (Annahme wird verweigert), somit sind keine Weiterleitung und keine Speicherung möglich. Sie können aber natürlich im Text auf eine andere E-Mail-Adresse hinweisen.</p>');

 $form = "<h4>Text der Fehlermeldung</h4>".

-  "<p><textarea cols=\"80\" rows=\"10\" name=\"smtpreply\" id=\"smtpreply\">".filter_input_general($account['smtpreply'])."</textarea></p>";

+  "<p><textarea cols=\"80\" rows=\"10\" name=\"smtpreply\" id=\"smtpreply\">".filter_output_html($account['smtpreply'])."</textarea></p>";

 $form .= '<p><input id="submit" type="submit" value="Speichern" />&#160;&#160;&#160;&#160;';

 if ($suspended) {

@@ -136,8 +136,7 @@ Subdomains können grundsätzlich nur durch Administratoren eingerichtet und ver

                         }

                     }

                     foreach ($acc['forwards'] as $fwd) {

-                        $fwd['destination'] = filter_input_general($fwd['destination']);

-                        array_push($actions, "Weiterleitung an <strong>{$fwd['destination']}</strong>");

+                        array_push($actions, "Weiterleitung an <strong>".filter_output_html($fwd['destination'])."</strong>");

                     }

                     $dest = '';

                     if (count($actions) > 0) {

@@ -148,10 +147,10 @@ Subdomains können grundsätzlich nur durch Administratoren eingerichtet und ver

                         $dest .= '</ul>';

                     }

                     if ($acc['smtpreply']) {

-                        output('<p><strike>'.$acc['local'].'@'.$this_account['domainname'].'</strike> '.internal_link("save", '<img src="'.$prefix.'images/delete.png" alt="löschen" title="Dieses Konto löschen"/>', "action=delete&id=".$acc['id']).'</p>');

+                        output('<p><strike>'.$filter_output_html(acc['local'].'@'.$this_account['domainname']).'</strike> '.internal_link("save", '<img src="'.$prefix.'images/delete.png" alt="löschen" title="Dieses Konto löschen"/>', "action=delete&id=".$acc['id']).'</p>');

                         output("<ul><li>".icon_disabled()." Diese Adresse ist stillgelegt. <strong>".internal_link('suspend', 'Stilllegung ändern/aufheben', 'account='.$acc['id']).'</strong></li></ul>');

                     } else {

-                        output('<p>'.internal_link('edit', $acc['local'].'@'.$this_account['domainname'], 'id='.$acc['id']).' '.internal_link("save", '<img src="'.$prefix.'images/delete.png" alt="löschen" title="Dieses Konto löschen"/>', "action=delete&id=".$acc['id']).'</p>');

+                        output('<p>'.internal_link('edit', filter_output_html($acc['local'].'@'.$this_account['domainname']), 'id='.$acc['id']).' '.internal_link("save", '<img src="'.$prefix.'images/delete.png" alt="löschen" title="Dieses Konto löschen"/>', "action=delete&id=".$acc['id']).'</p>');

                         output('<p>'.$dest.'</p>');

                     }

                 }

@@ -167,5 +166,5 @@ Subdomains können grundsätzlich nur durch Administratoren eingerichtet und ver

     /* FIXME: Das sollte nur kommen, wenn der IMAP/POP3-Menü-Eintrag nicht da ist */

-    output('<p style="font-size: 90%;padding-top: 0.5em; border-top: 1px solid black;">Hinweis: '.config('company_name').' bietet für fortgeschrittene Nutzer die manuelle Einrichtung von POP3/IMAP-Accounts.<br/>'.internal_link("imap", "Neuen POP3/IMAP-Account anlegen", "action=create").'</p>');

+    output('<p style="font-size: 90%;padding-top: 0.5em; border-top: 1px solid black;">Hinweis: '.filter_output_html(config('company_name')).' bietet für fortgeschrittene Nutzer die manuelle Einrichtung von POP3/IMAP-Accounts.<br/>'.internal_link("imap", "Neuen POP3/IMAP-Account anlegen", "action=create").'</p>');

 }

@@ -60,8 +60,7 @@ if ($acc['autoresponder']) {

 }

 foreach ($acc['forwards'] as $fwd) {

-    $fwd['destination'] = filter_input_general($fwd['destination']);

-    $content .= '<p>'.other_icon('go.png')." Weiterleitung an <strong>{$fwd['destination']}</strong></p>";

+    $content .= '<p>'.other_icon('go.png')." Weiterleitung an <strong>".filter_output_html($fwd['destination'])."</strong></p>";

 }

@@ -56,7 +56,7 @@ function save_ftpuser($data)

     if ($data['username'] == '') {

         system_failure('Bitte geben Sie eine Erweiterung für den Benutzernamen an!');

     }

-    $homedir = filter_input_general($data['homedir']);

+    $homedir = $data['homedir'];

     if (substr($homedir, 0, 1) == '/') {

         $homedir = substr($homedir, 1);

     }

@@ -40,7 +40,7 @@ if (isset($_GET['repo']) && isset($repos[$_GET['repo']])) {

     $action = 'editrepo';

     title("Zugriff auf GIT-Repository ändern");

     output("<p>Legen Sie hier fest, welche Berechtigungen für welche SSH-Keys gelten sollen.</p>");

-    $form .= '<table><tr><td>Name des Repository</td><td><input type="hidden" name="repo" value="'.filter_input_general($_GET['repo']).'" />'.filter_input_general($_GET['repo']).'</td></tr>';

+    $form .= '<table><tr><td>Name des Repository</td><td><input type="hidden" name="repo" value="'.filter_output_html($_GET['repo']).'" />'.filter_output_html($_GET['repo']).'</td></tr>';

 } else {

     $action = 'newrepo';

     title("Neues GIT-Repository anlegen");

@@ -87,7 +87,7 @@ $checked = (isset($_GET['repo']) && isset($repos[$_GET['repo']]) && isset($repos

 $description = (isset($_GET['repo']) && isset($repos[$_GET['repo']])) ? $repos[$_GET['repo']]['description'] : '';

 $disabled = $checked ? '' : ' disabled="disabled"';

 $form .= '<p><input type="checkbox" name="gitweb" id="gitweb" value="r"'.$checked.' onclick="showDescription()" /> <label for="gitweb">Öffentlicher Lesezugriff via gitweb</label><br />

-<label for="description">Beschreibung des Repository:</label> <input type="text" name="description" id="description" value="'.$description.'"'.$disabled.' /></p>';

+<label for="description">Beschreibung des Repository:</label> <input type="text" name="description" id="description" value="'.filter_output_html($description).'"'.$disabled.' /></p>';

 $form .= '</td></tr></table>';

 $form .= '<p><input type="submit" value="Speichern" /></p>';

@@ -38,7 +38,7 @@ if (count($repos) == 0) {

 }

 foreach ($repos as $repo => $settings) {

-    $description = $settings['description'] ? '<br /><em>"'.filter_input_general($settings['description']).'"</em>' : '';

+    $description = $settings['description'] ? '<br /><em>"'.filter_output_html($settings['description']).'"</em>' : '';

     $url = get_git_url($repo);

     $public = isset($settings['users']['gitweb']) && $settings['users']['gitweb'] == 'R';

     $public_string = '';

@@ -120,6 +120,7 @@ function list_repos()

             }

             DEBUG("found repo ".$m[1]);

             $current_repo = chop($m[1]);

+            verify_input_identifier($current_repo);

             $current_repo_users = array();

         } elseif (preg_match('/^\s*(R|RW|RW\+)\s*=\s*([[:alnum:]][[:alnum:]._-]*)\s*$/', $line, $m) != 0) {

             DEBUG("found access rule: ".$m[1]." for ".$m[2]);

@@ -151,7 +152,9 @@ function list_users()

     foreach ($lines as $line) {

         $m = array();

         if (preg_match('_# user ([^]]+)_', $line, $m) != 0) {

-            $users[] = chop($m[1]);

+            $currentuser = trim($m[1]);

+            verify_input_identifier($currentuser);

+            $users[] = $currentuser;

         }

         if (preg_match('_^\s*repo .*_', $line) != 0) {

             break;

@@ -22,7 +22,7 @@ $section = 'git_git';

 $handle = '';

 if (isset($_GET['handle'])) {

-    $handle = filter_input_general($_GET['handle']);

+    $handle = verify_input_identifier($_GET['handle']);

 }

 $action = '';

@@ -45,11 +45,11 @@ $userprefix = $_SESSION['userinfo']['username'].'-';

 $form .= '<table><tr><td><label for="handle" />Name des Benutzers:</label></td>';

 if ($handle) {

-    $form .= '<td><input type="hidden" name="handle" value="'.str_replace($userprefix, '', $handle).'" /><strong>'.$handle.'</strong></td></tr>';

+    $form .= '<td><input type="hidden" name="handle" value="'.filter_output_html(str_replace($userprefix, '', $handle)).'" /><strong>'.filter_output_html($handle).'</strong></td></tr>';

 } else {

     $form .= '<td>'.$userprefix.'<input type="text" id="handle" name="handle" value="'.$handle.'" /></td></tr>';

 }

-$form .= '<tr><td><label for="pubkey">SSH-Public-Key:</label></td><td><textarea name="pubkey" id="pubkey" cols="70" rows="10">'.$pubkey.'</textarea></td></tr>

+$form .= '<tr><td><label for="pubkey">SSH-Public-Key:</label></td><td><textarea name="pubkey" id="pubkey" cols="70" rows="10">'.filter_output_html($pubkey).'</textarea></td></tr>

   </table>

   <p><input type="submit" value="Speichern" /></p>

   ';

@@ -48,10 +48,10 @@ if (isset($_SESSION['clientcert_cert'])) {

     global $menu;

     output('<div style="margin: 1em; padding: 1em; border: 2px solid green;">');

     output('<p>Es wurde folgendes Client-Zertifikat von Ihrem Browser gesendet:</p>

-<div style="margin-left: 2em;"><strong>DN:</strong> '.filter_input_general($_SESSION['clientcert_dn']).'<br />

-<strong>Aussteller-DN:</strong> '.filter_input_general($_SESSION['clientcert_issuer']).'<br />

-<strong>Seriennummer:</strong> '.filter_input_general($_SESSION['clientcert_serial']).'<br />

-<strong>Gültigkeit:</strong> '.filter_input_general($_SESSION['clientcert_valid_from']).' bis '.filter_input_general($_SESSION['clientcert_valid_until']).'</div>

+<div style="margin-left: 2em;"><strong>DN:</strong> '.filter_output_html($_SESSION['clientcert_dn']).'<br />

+<strong>Aussteller-DN:</strong> '.filter_output_html($_SESSION['clientcert_issuer']).'<br />

+<strong>Seriennummer:</strong> '.filter_output_html($_SESSION['clientcert_serial']).'<br />

+<strong>Gültigkeit:</strong> '.filter_output_html($_SESSION['clientcert_valid_from']).' bis '.filter_output_html($_SESSION['clientcert_valid_until']).'</div>

 <p>Soll dieses Zertifikat für den Zugang für <strong>'.$username.'</strong> verwendet werden?</p>');

     output(html_form('clientcert_add', 'certsave.php', 'action=new', '<p><input type="submit" name="submit" value="Ja, dieses Zertifikat einrichten" /> &#160; '.internal_link('cert', 'Nein', 'clear').'</p>'));

     output('</div>');

@@ -64,8 +64,8 @@ if ($certs != null) {

     output('<p>Sie haben bereits Zertifikate für den Zugang eingerichtet.</p>

   <ul>');

     foreach ($certs as $cert) {

-        output('<li>'.filter_input_general($cert['dn'].' / Seriennummer '.$cert['serial'].' / '.'Gültig von '.$cert['valid_from'].' bis '.$cert['valid_until']).'<br />');

-        output('<em>ausgestellt von </em>'.filter_input_general($cert['issuer']));

+        output('<li>'.filter_output_html($cert['dn'].' / Seriennummer '.$cert['serial'].' / '.'Gültig von '.$cert['valid_from'].' bis '.$cert['valid_until']).'<br />');

+        output('<em>ausgestellt von </em>'.filter_output_html($cert['issuer']));

         output('<br />'.internal_link('certsave', 'Dieses Zertifikat löschen', 'action=delete&id='.$cert['id']));

         output('</li>');

     }

@@ -63,7 +63,7 @@ if ($_GET['action'] == 'new') {

     }

     $sure = user_is_sure();

     if ($sure === null) {

-        are_you_sure("action=delete&id={$cert['id']}", filter_input_general("Möchten Sie das Zertifikat »{$cert['dn']}« (Seriennummer {$cert['serial']}, Gültig von {$cert['valid_from']} bis {$cert['valid_until']}) wirklich löschen?"));

+        are_you_sure("action=delete&id={$cert['id']}", filter_output_html("Möchten Sie das Zertifikat »{$cert['dn']}« (Seriennummer {$cert['serial']}, Gültig von {$cert['valid_from']} bis {$cert['valid_until']}) wirklich löschen?"));

     } elseif ($sure === true) {

         delete_clientcert($cert['id']);

         if (! $debugmode) {

@@ -24,7 +24,7 @@ $section = 'invoice_current';

 title('Rechnung');

 output('<p>Detailansicht Ihrer Rechnung. Beachten Sie bitte, dass diese Informationsseite sowie auch ein Ausdruck dieser Seite keine Rechnung darstellt. Ein gültiges Rechnungsdokument stellt lediglich die signierte PDF-Version bzw. eine Papierrechnung dar, die Sie von uns erhalten haben.</p>');

-$invoice_id = (int) filter_input_general($_GET['id']);

+$invoice_id = (int) $_GET['id'];

 output("<p>Für eine druckbare Version benutzen Sie bitte die Ausgabe ".internal_link("pdf", "als PDF-Datei <img src=\"{$prefix}images/pdf.png\" width=\"22\" height=\"22\" alt=\"PDF\"/>", "id={$invoice_id}").".</p>

 <p>&#160;</p>");

@@ -20,7 +20,7 @@ require_once('inc/security.php');

 require_role(ROLE_CUSTOMER);

-$invoice_id = (int) filter_input_general($_GET['id']);

+$invoice_id = (int) $_GET['id'];

 $items = invoice_items($invoice_id);

@@ -43,7 +43,7 @@ foreach ($jabberaccounts as $acc) {

     if (! $lastactivity) {

         $lastactivity = 'Bisher nie verwendet';

     }

-    $local = filter_input_general($acc['local']);

+    $local = filter_output_html($acc['local']);

     $domain = new Domain((int) $acc['domain']);

     if ($domain->id == null) {

         $domain = new Domain();

@@ -57,10 +57,10 @@ if ($_GET['action'] == 'new') {

     $section = 'jabber_accounts';

     $account = get_jabberaccount_details($_GET['account']);

-    $account_string = filter_input_general($account['local'].'@'.$account['domain']);

+    $account_string = $account['local'].'@'.$account['domain'];

     $sure = user_is_sure();

     if ($sure === null) {

-        are_you_sure("action=delete&account={$_GET['account']}", "Möchten Sie den Account »{$account_string}« wirklich löschen?");

+        are_you_sure("action=delete&account={$_GET['account']}", "Möchten Sie den Account »".filter_output_html($account_string})."« wirklich löschen?");

     } elseif ($sure === true) {

         delete_jabber_account($account['id']);

         if (! $debugmode) {

@@ -71,7 +71,6 @@ function create_list($listname, $maildomain, $admin)

 {

     $listname = strtolower($listname);

     verify_input_username($listname);

-    verify_input_general($admin);

     if (in_array($listname, array("admin", "administrator", "webmaster", "hostmaster", "postmaster"))) {

         system_failure('Der Mailinglistenname '.$listname.' ist unzulässig.');

     }

@@ -28,7 +28,7 @@ output('<p>Mit <a href="https://www.gnu.org/software/mailman/index.html">Mailman

 $filter = "";

 if (isset($_REQUEST['filter']) && $_REQUEST['filter'] != '') {

-    $filter = filter_input_general($_REQUEST['filter']);

+    $filter = $_REQUEST['filter'];

 }

 $lists = get_lists($filter);

@@ -36,7 +36,7 @@ $lists = get_lists($filter);

 // Filter-Funktion

 if (count($lists) > 10 || $filter) {

     javascript();

-    $form = '<p><label for="filter">Filter für die Anzeige:</label> <input type="text" name="filter" id="filter" value="'.$filter.'"><button type="button" id="clear" title="Filter leeren">&times;</button><input type="submit" value="Filtern!"></p>';

+    $form = '<p><label for="filter">Filter für die Anzeige:</label> <input type="text" name="filter" id="filter" value="'.filter_output_html($filter).'"><button type="button" id="clear" title="Filter leeren">&times;</button><input type="submit" value="Filtern!"></p>';

     output(html_form('mailman_filter', 'lists', '', $form));

 }

@@ -37,7 +37,7 @@ if (isset($_GET['db'])) {

         }

     }

     $form = '<p>Ändern Sie hier die Beschreibung der Datenbank <strong>'.$thisdb['name'].'</strong>.</p>';

-    $form .= '<p><input type="text" name="description" value="'.filter_input_general($thisdb['description']).'" /></p>

+    $form .= '<p><input type="text" name="description" value="'.filter_output_html($thisdb['description']).'" /></p>

 <p><input type="submit" value="Speichern" /></p>';

     output(html_form('mysql_description', 'save', "action=description&db={$thisdb['name']}", $form));

 }

@@ -49,7 +49,7 @@ if (isset($_GET['username'])) {

         }

     }

     $form = '<p>Ändern Sie hier die Beschreibung des DB-Benutzers <strong>'.$thisuser['username'].'</strong>.</p>';

-    $form .= '<p><input type="text" name="description" value="'.filter_input_general($thisuser['description']).'" /></p>

+    $form .= '<p><input type="text" name="description" value="'.filter_output_html($thisuser['description']).'" /></p>

 <p><input type="submit" value="Speichern" /></p>';

     output(html_form('mysql_description', 'save', "action=description&username={$thisuser['username']}", $form));

 }

@@ -53,7 +53,7 @@ function set_database_description($dbname, $description)

         system_failure('Ungültige Datenbank');

     }

     $args = array(":id" => $thisdb['id'],

-                ":desc" => filter_input_general($description));

+                ":desc" => filter_input_oneline($description));

     db_query("UPDATE misc.mysql_database SET description=:desc WHERE id=:id", $args);

 }

@@ -70,7 +70,7 @@ function set_dbuser_description($username, $description)

         system_failure('Ungültiger Benutzer');

     }

     $args = array(":id" => $thisuser['id'],

-                ":desc" => filter_input_general($description));

+                ":desc" => filter_input_oneline($description));

     db_query("UPDATE misc.mysql_accounts SET description=:desc WHERE id=:id", $args);

 }

@@ -64,7 +64,7 @@ if (count($dbs) > 0 || count($users) > 0) {

         //$username = str_replace('_', '_ ', $user['username']);

         $desc = '';

         if ($user['description']) {

-            $desc = '<br /><span style="font-weight: normal; font-size: 80%; font-style: italic;">'.filter_input_general($user['description']).'</span>';

+            $desc = '<br /><span style="font-weight: normal; font-size: 80%; font-style: italic;">'.filter_output_html($user['description']).'</span>';

         }

         output("<th><span title=\"Erstellt: {$user['created']}\">{$username}</span>".$desc);

         output("<br />".internal_link('description', other_icon("comment.png", 'Beschreibung ändern'), "username={$username}")."&#160;");

@@ -78,7 +78,7 @@ if (count($dbs) > 0 || count($users) > 0) {

         $phpmyadmin = "https://mysql-{$servers[$db['name']]}/";

         $desc = '';

         if ($db['description']) {

-            $desc = '<br /><span style="font-weight: normal; font-size: 80%; font-style: italic;">'.filter_input_general($db['description']).'</span>';

+            $desc = '<br /><span style="font-weight: normal; font-size: 80%; font-style: italic;">'.filter_output_html($db['description']).'</span>';

         }

         output("<tr><td style=\"border: 0px; font-weight: bold; text-align: right;\"><span title=\"Erstellt: {$db['created']}\">{$db['name']}</span>".$desc."<br />");

         output(internal_link('description', other_icon("comment.png", 'Datenbank-Beschreibung ändern'), "db={$db['name']}")." ");

@@ -32,7 +32,7 @@ if (! $oldaddr) {

     $no = ' checked="checked" ';

 }

-$form = '<p><input type="radio" id="newsletter_yes" name="newsletter" value="yes" '.$yes.' /> <label for="newsletter_yes">Newsletter soll gesendet werden an:</label> <input type="text" name="recipient" id="recipient" value="'.filter_input_general($oldaddr).'" maxlength="255" /></p>

+$form = '<p><input type="radio" id="newsletter_yes" name="newsletter" value="yes" '.$yes.' /> <label for="newsletter_yes">Newsletter soll gesendet werden an:</label> <input type="text" name="recipient" id="recipient" value="'.filter_output_html($oldaddr).'" maxlength="255" /></p>

 <p><input type="radio" id="newsletter_no" name="newsletter" value="no" '.$no.' /> <label for="newsletter_no">Ich möchte gar keinen Newsletter erhalten.</label></p>

 <p><input type="submit" value="Speichern" /></p>';

@@ -47,6 +47,6 @@ output("<h3>Vergangene Newsletter</h3>

 output("<ul>");

 $news = get_latest_news();

 foreach ($news as $item) {

-    output("<li>".internal_link("read", $item['date'].': '.$item['subject'], "id=".$item['id'])."</li>");

+    output("<li>".internal_link("read", $item['date'].': '.filter_output_html($item['subject']), "id=".$item['id'])."</li>");

 }

 output("</ul>");

@@ -36,7 +36,7 @@ if ((isset($_REQUEST['newsletter']) && $_REQUEST['newsletter'] == 'no') || (isse

     }

 } else {

     check_form_token('newsletter');

-    if (! check_emailaddr($_REQUEST['recipient']) || filter_input_general($_REQUEST['recipient']) != $_REQUEST['recipient']) {

+    if (! check_emailaddr($_REQUEST['recipient'])) {

         system_failure("Keine gültige E-Mail-Adresse!");

     }

     set_newsletter_address($_REQUEST['recipient']);

@@ -16,7 +16,6 @@ Nevertheless, in case you use a significant part of this code, we ask (but not r

 require_once('inc/base.php');

 require_once('inc/security.php');

-require_once('inc/debug.php');

 require_once('session/start.php');

 require_once('su.php');

@@ -37,7 +36,7 @@ if (isset($_GET['do'])) {

 $search = null;

 if (isset($_POST['query'])) {

     check_form_token('su_su');

-    $id = filter_input_general($_POST['query']);

+    $id = $_POST['query'];

     if (! su(null, $id)) {

         $search = $_POST['query'];

     }

@@ -48,11 +47,6 @@ title("Benutzer wechseln");

 output('<p>Hiermit können Sie (als Admin) das Webinterface mit den Rechten eines beliebigen anderen Benutzers benutzen.</p>

 ');

-$debug = '';

-if ($debugmode) {

-    $debug = 'debug&';

-}

-

 require_once('inc/jquery.php');

 // lädt die JS-Datei mit gleichem basename

 javascript();

@@ -63,6 +57,6 @@ output(html_form('su_su', '', '', '<p><label for="query"><strong>Suchtext:</stro

 if ($search) {

     $allentries = build_results($search);

     foreach ($allentries as $entry) {

-        output("  <p><a href=\"?do=".filter_input_general($entry['id'])."\">".filter_input_general($entry['value'])."</a></p>");

+        output("  <p><a href=\"?do=".filter_output_html($entry['id'])."\">".filter_output_html($entry['value'])."</a></p>");

     }

 }