Fix XSS problem with unsanitized style tags in messages [CVE-2011-2023]

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14122 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix XSS holes in generic options inputs, XSS hole in the SquirrelSpell plugin, and added anti-CSRF protection to the empty trash feature (thanks to Nicholas Carlini for finding all these issues) [CVE-2010-4555]

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14120 7612ce4b-ef26-0410-bec9-ea0150e637f0

Add clickjacking protection (thanks to Asbjorn Thorsen and Geir Hansen for bringing this to our attention) [CVE-2010-4554]

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14118 7612ce4b-ef26-0410-bec9-ea0150e637f0

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14108 7612ce4b-ef26-0410-bec9-ea0150e637f0

Allow administrators to configure subfolders of user INBOXes to be treated as special folders by adding $subfolders_of_inbox_are_special to config_local.php

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14107 7612ce4b-ef26-0410-bec9-ea0150e637f0

Remove quotes around personal names in message list (#3292587)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14106 7612ce4b-ef26-0410-bec9-ea0150e637f0

Add smtp_auth hook (thanks to Emmanuel Dreyfus)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14094 7612ce4b-ef26-0410-bec9-ea0150e637f0

Undelete button shouldn't be related to whether or not a trash folder is in use - it's just a product of auto-expunge

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14092 7612ce4b-ef26-0410-bec9-ea0150e637f0

Don't use regular expressions when you don't need to

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14090 7612ce4b-ef26-0410-bec9-ea0150e637f0

Happy New Year!

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14085 7612ce4b-ef26-0410-bec9-ea0150e637f0

Refine HMAC-MD5 generator; use native PHP Hash extension if available

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14083 7612ce4b-ef26-0410-bec9-ea0150e637f0

Unify output strings (Thanks to Juergen Edner) (#3139973).

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14082 7612ce4b-ef26-0410-bec9-ea0150e637f0

Force the addition of a file suffix to attachments that lack a filename (helps forwarded messages avoid spam filters) (Thanks to Petr Kletecka) (#3139004)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14080 7612ce4b-ef26-0410-bec9-ea0150e637f0

Unify SMTP auth mechanisms in configuration tool

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14076 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix sqauth_read_password() for plugins running on the login_verified hook when the 'key' cookie isn't yet set

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14067 7612ce4b-ef26-0410-bec9-ea0150e637f0

Adding strings to the template.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14062 7612ce4b-ef26-0410-bec9-ea0150e637f0

Now allow multiple plugins to handle (add links for) a single attachment MIME type

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14059 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fixed system lock-ups caused by a combination of certain rare, malformed message headers and buggy versions of PHP mbstring (#3053349, 987016)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@14056 7612ce4b-ef26-0410-bec9-ea0150e637f0

Retiring Seth per his request

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13971 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix attachment filename decoding (#2994865)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13967 7612ce4b-ef26-0410-bec9-ea0150e637f0

The use of 'user' as a column name no longer causes errors in SquirrelMail/PostgreSQL

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13965 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix issues caused by use of PostgreSQL keyword 'user' in SquirrelMail's default preferences database schema (#2943483)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13963 7612ce4b-ef26-0410-bec9-ea0150e637f0

Add information about online documentation

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13960 7612ce4b-ef26-0410-bec9-ea0150e637f0

Retire Marc.  We should probably retire some others who haven't contributed in the last few years

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13959 7612ce4b-ef26-0410-bec9-ea0150e637f0

Aggressive sanitizing of REQUEST_URI, PHP_SELF, and QUERY_STRING corrupted page URIs by encoding ampersands in the query string, so we have to un-sanitize ampersands.  Will this cause any security/XSS issues?

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13957 7612ce4b-ef26-0410-bec9-ea0150e637f0

Now fill in default subject when forwarding as attachment (#2936541)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13955 7612ce4b-ef26-0410-bec9-ea0150e637f0

Now properly quote personal part of encoded addresses when replying

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13953 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fixed minor vulnerability in Mail Fetch plugin [CVE-2010-1637/TEHTRI-SA-2010-009]

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13950 7612ce4b-ef26-0410-bec9-ea0150e637f0

Reduced default time security tokens stay valid from 30 days to 2 days (reduces chances of session data growing too large)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13949 7612ce4b-ef26-0410-bec9-ea0150e637f0

Synchronize no-cache headers.  This reverses revision 13940 because no-cahce headers were already being sent in displayHtmlHeader() for left_main.php and right_main.php (the tracker referred to in that revision only applies to SquirrelMail 1.4.x).

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13945 7612ce4b-ef26-0410-bec9-ea0150e637f0

  - Fix error with SpamCop reporting plugin not being able to send report as
    emails (#1795310).
  - Fix typo in SpamCop plugin.
  - Tidy some output (slightly personal to stop Eclipse complaining about errors in the code)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13942 7612ce4b-ef26-0410-bec9-ea0150e637f0

Explicitly disable caching for left_main and right_main pages (#2983134)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13940 7612ce4b-ef26-0410-bec9-ea0150e637f0

Show what user/group the web server is running as; helps with debugging certain plugins for admins who aren't quite sure about these things

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13934 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix PHP errors.  Thanks to Jacek Kalinski

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13931 7612ce4b-ef26-0410-bec9-ea0150e637f0

Add FIXME

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13930 7612ce4b-ef26-0410-bec9-ea0150e637f0

Don't push out onsubmit handler unless necessary

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13929 7612ce4b-ef26-0410-bec9-ea0150e637f0

r13926 from stable:
code in findDisplayEntity expects object, not array. Make findAltenativeEntity
return an object or null consistently.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13927 7612ce4b-ef26-0410-bec9-ea0150e637f0

RFC 3676 says there can't be more in the signature delimiter line than this

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13913 7612ce4b-ef26-0410-bec9-ea0150e637f0

Grammar

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13909 7612ce4b-ef26-0410-bec9-ea0150e637f0

Added ability to configure Google Mail (Gmail) as the mail server behind SquirrelMail

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13907 7612ce4b-ef26-0410-bec9-ea0150e637f0

Send X-DNS-Prefetch-Control: off header to browsers to prevent information
leakage when Firefox does DNS prefetching for URL's contained in emails.
https://secure.grepular.com/DNS_Prefetch_Exposure_on_Thunderbird_and_Webmail

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13903 7612ce4b-ef26-0410-bec9-ea0150e637f0

Multibyte strings (notably subjects) are now handled correctly (#2824813, #2925731)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13901 7612ce4b-ef26-0410-bec9-ea0150e637f0

Encoded From headers now properly quoted (#2830141). A better fix might be to re-write encodeHeader()

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13900 7612ce4b-ef26-0410-bec9-ea0150e637f0

displayInternalLink() was removed 2.5 years ago (revision 12549), but this plugin was not updated.  Thanks to Christian Kujau for noticing.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13898 7612ce4b-ef26-0410-bec9-ea0150e637f0

Avoid notices in some environments

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13897 7612ce4b-ef26-0410-bec9-ea0150e637f0

REQUEST_URI is used in php_self(), so make sure it's sanitized too

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13895 7612ce4b-ef26-0410-bec9-ea0150e637f0

Update copyrights to 2010

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13894 7612ce4b-ef26-0410-bec9-ea0150e637f0

Slight rewrite of php_self()

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13891 7612ce4b-ef26-0410-bec9-ea0150e637f0

Make base URL autodetection more robust (probably #1741469). Sorry, this should have been included in the last commit.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13889 7612ce4b-ef26-0410-bec9-ea0150e637f0

Make php_self() more robust.  Seems to fix certain lighttpd issues, such as probably #1741469

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13886 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix for mailto: URLs containing a + sign.  Thanks to Michael Puls II for the patch.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13885 7612ce4b-ef26-0410-bec9-ea0150e637f0

Quote dynamic regex contents to be safe.  Thanks to Daniel Hahler.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13882 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix for security token missing in newmail plugin (#2919418).

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13880 7612ce4b-ef26-0410-bec9-ea0150e637f0

Add security tokens to change password plugin

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13878 7612ce4b-ef26-0410-bec9-ea0150e637f0

need to move strtolower inside if-block to prevent notice when attached
file has no extention

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13876 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix issue with multi-part related messages not showing all attachments (#2830140).

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13874 7612ce4b-ef26-0410-bec9-ea0150e637f0

Synch message list table width with css/default.css since the lack of a width here seems to break some layouts/browsers/configurations

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13872 7612ce4b-ef26-0410-bec9-ea0150e637f0

NULL not accepted as a replacement for empty arrays as of PHP 5.3

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13870 7612ce4b-ef26-0410-bec9-ea0150e637f0

Turning som FIXMEs into one-liners.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13867 7612ce4b-ef26-0410-bec9-ea0150e637f0

Avoid prefixing global $check_referrer value with protocol prefix - use local variable instead

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13865 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fixed broken SpamCop email submission: needed updated send button name and security token

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13862 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix wrong doc

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13861 7612ce4b-ef26-0410-bec9-ea0150e637f0

If we add a token to lang_setup (#13855), need to check it in lang_change

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13858 7612ce4b-ef26-0410-bec9-ea0150e637f0

Additional smtoken changes.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13855 7612ce4b-ef26-0410-bec9-ea0150e637f0

Adding and improving comments.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13851 7612ce4b-ef26-0410-bec9-ea0150e637f0

The copyright symbol isn't really needed since the word "copyright" is there. Also it doesn't display right in the documentation.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13850 7612ce4b-ef26-0410-bec9-ea0150e637f0

Clarifying a TODO.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13849 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix broken'Thread' and the no-javascript 'All' links (add security tokens)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13848 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix broken search pagination (add security tokens)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13847 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix for deleting message from search expiring cache.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13846 7612ce4b-ef26-0410-bec9-ea0150e637f0

Ungreedy modifier does nothing here; remove to avoid unecessary confusion

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13844 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix PHP notice - $use_js was removed from the core in revision 13713

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13843 7612ce4b-ef26-0410-bec9-ea0150e637f0

Attachments were being lost when going to address book page due to lack of proper encoding [#2851493]

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13842 7612ce4b-ef26-0410-bec9-ea0150e637f0

Allow plugins to submit security token via GET request

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13841 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fixed more links that needed security tokens

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13836 7612ce4b-ef26-0410-bec9-ea0150e637f0

Delete requests can come via GET or POST

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13829 7612ce4b-ef26-0410-bec9-ea0150e637f0

Protect message deletion with security token system. (Secunia Advisory SA34627)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13826 7612ce4b-ef26-0410-bec9-ea0150e637f0

Correct documentation

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13821 7612ce4b-ef26-0410-bec9-ea0150e637f0

Add controls for page referal verification and security token system to the configuration tool

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13819 7612ce4b-ef26-0410-bec9-ea0150e637f0

Implemented security token system. (Secunia Advisory SA34627)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13817 7612ce4b-ef26-0410-bec9-ea0150e637f0

Implemented page referal verification mechanism. (Secunia Advisory SA34627)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13816 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix incorrect stristr() parameter order

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13813 7612ce4b-ef26-0410-bec9-ea0150e637f0

Don't encode stuff that's used in hyperlink addresses

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13812 7612ce4b-ef26-0410-bec9-ea0150e637f0

Allow forward slashes in Windows-style full paths

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13811 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix broken regular expression

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13809 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fix broken regular expression

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13808 7612ce4b-ef26-0410-bec9-ea0150e637f0

Remove personal data from Message ID seed. (#880029/847107)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13805 7612ce4b-ef26-0410-bec9-ea0150e637f0

This time really make abook files get created with correct permissions

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13803 7612ce4b-ef26-0410-bec9-ea0150e637f0

Stop using deprecated ereg() functions (#2820952)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13799 7612ce4b-ef26-0410-bec9-ea0150e637f0

Remove possible bad system admin typos (#2827153).

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13794 7612ce4b-ef26-0410-bec9-ea0150e637f0

PHP 5.3 deprecated ereg() function (#2820952)

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13793 7612ce4b-ef26-0410-bec9-ea0150e637f0

Port Thijs fix (rev.13790) to DEVEL: no words must be an empty array, not a string, to prevent notices when later array operations are done on $words.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13792 7612ce4b-ef26-0410-bec9-ea0150e637f0

Fixed broken RFC1918 reference in contrib/.htaccess and doc/.htaccess (#2798839).

This probably needs further discussion

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13778 7612ce4b-ef26-0410-bec9-ea0150e637f0

Porting comments and strings between 1.4 and 1.5.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13772 7612ce4b-ef26-0410-bec9-ea0150e637f0

No double spaces in strings please. They will not show up in HTML anyway.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13770 7612ce4b-ef26-0410-bec9-ea0150e637f0

Adding comments to the translators.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13769 7612ce4b-ef26-0410-bec9-ea0150e637f0

Adding more strings to the template.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13768 7612ce4b-ef26-0410-bec9-ea0150e637f0

QUERY_STRING is already sanitized

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13767 7612ce4b-ef26-0410-bec9-ea0150e637f0

Porting comments betweeen 1.4 and 1.5.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13766 7612ce4b-ef26-0410-bec9-ea0150e637f0

Removing "www." from some links.

git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@13765 7612ce4b-ef26-0410-bec9-ea0150e637f0