5) XSS in addressbook (different):
[squirrelmail.git] / src / addressbook.php
index 18edc2616ee68a502e06729a4cf62dcb8568e86a..91f833924493f525f5866bff4e9ca9875aa1b325 100644 (file)
  * $Id$
  */
 
-require_once('../src/validate.php');
-require_once('../functions/array.php');
-require_once('../functions/display_messages.php');
-require_once('../functions/addressbook.php');
+/* Path for SquirrelMail required files. */
+define('SM_PATH','../');
+
+/* SquirrelMail required files. */
+require_once(SM_PATH . 'include/validate.php');
+require_once(SM_PATH . 'functions/array.php');
+require_once(SM_PATH . 'functions/display_messages.php');
+require_once(SM_PATH . 'functions/addressbook.php');
+require_once(SM_PATH . 'functions/strings.php');
+require_once(SM_PATH . 'functions/html.php');
 
 /* Make an input field */
 function adressbook_inp_field($label, $field, $name, $size, $values, $add) {
     global $color;
-    echo '<TR><TD BGCOLOR="' . $color[4] . '" ALIGN=RIGHT>' .
-         $label . ':</TD>' .
-         '<TD BGCOLOR="' . $color[4] . '" ALIGN=left>' .
-         '<INPUT NAME="' . $name . '[' . $field . ']" SIZE="' . $size . '" VALUE="';
+    $td_str = '<INPUT NAME="' . $name . '[' . $field . ']" SIZE="' . $size . '" VALUE="';
     if (isset($values[$field])) {
-        echo htmlspecialchars($values[$field]);
+        $td_str .= htmlspecialchars( strip_tags( $values[$field] ) );
     }
-    echo '">' . $add . '</TD></TR>' . "\n";
+    $td_str .= '">' . $add . '';
+    return html_tag( 'tr' ,
+        html_tag( 'td', $label . ':', 'right', $color[4]) .
+        html_tag( 'td', $td_str, 'left', $color[4])
+        )
+    . "\n";
 }
 
 /* Output form to add and modify address data */
 function address_form($name, $submittext, $values = array()) {
     global $color;
-
-    echo '<TABLE BORDER=0 CELLPADDING=1 COLS=2 WIDTH="90%" ALIGN=center>' ."\n";
-
-    adressbook_inp_field(_("Nickname"),     'nickname', $name, 15, $values,
-        '<SMALL>' . _("Must be unique") . '</SMALL>');
-    adressbook_inp_field(_("E-mail address"),  'email', $name, 45, $values, '');
-    adressbook_inp_field(_("First name"),  'firstname', $name, 45, $values, '');
-    adressbook_inp_field(_("Last name"),    'lastname', $name, 45, $values, '');
-    adressbook_inp_field(_("Additional info"), 'label', $name, 45, $values, '');
-
-    echo '<TR><TD COLSPAN=2 BGCOLOR="' . $color[4] . '" ALIGN=center>' . "\n" .
-         '<INPUT TYPE=submit NAME="' . $name . '[SUBMIT]" VALUE="' .
-         $submittext . '"></TD></TR>' .
-         "\n</TABLE>\n";
+    
+    echo html_tag( 'table',
+                       adressbook_inp_field(_("Nickname"),     'nickname', $name, 15, $values,
+                           ' <SMALL>' . _("Must be unique") . '</SMALL>') .
+                       adressbook_inp_field(_("E-mail address"),  'email', $name, 45, $values, '') .
+                       adressbook_inp_field(_("First name"),  'firstname', $name, 45, $values, '') .
+                       adressbook_inp_field(_("Last name"),    'lastname', $name, 45, $values, '') .
+                       adressbook_inp_field(_("Additional info"), 'label', $name, 45, $values, '') .
+                       html_tag( 'tr',
+                           html_tag( 'td',
+                                       '<INPUT TYPE=submit NAME="' . $name . '[SUBMIT]" VALUE="' .
+                                       $submittext . '">',
+                                   'center', $color[4], 'colspan="2"')
+                       )
+    , 'center', '', 'border="0" cellpadding="1" width="90%"') ."\n";
 }
 
-
 /* Open addressbook, with error messages on but without LDAP (the *
  * second "true"). Don't need LDAP here anyway                    */
 $abook = addressbook_init(true, true);
@@ -61,12 +69,12 @@ if($abook->localbackend == 0) {
 
 displayPageHeader($color, 'None');
 
-
 $defdata   = array();
 $formerror = '';
 $abortform = false;
 $showaddrlist = true;
 $defselected  = array();
+$form_url = 'addressbook.php';
 
 
 /* Handle user's actions */
@@ -76,7 +84,9 @@ if($REQUEST_METHOD == 'POST') {
      * Add new address                                *
      **************************************************/
     if (!empty($addaddr['nickname'])) {
-
+        foreach( $addaddr as $k => $adr ) {
+            $addaddr[$k] = strip_tags( $adr );
+        }
         $r = $abook->add($addaddr, $abook->localbackend);
 
         /* Handle error messages */
@@ -89,7 +99,6 @@ if($REQUEST_METHOD == 'POST') {
             $showaddrlist = false;
             $defdata = $addaddr;
         }
-
     } else {
 
         /************************************************
@@ -159,13 +168,15 @@ if($REQUEST_METHOD == 'POST') {
                         $olddata = $abook->lookup($enick, $ebackend);
 
                         /* Display the "new address" form */
-                        echo '<FORM ACTION="' . $PHP_SELF . '" METHOD="POST">' .
+                        echo '<FORM ACTION="' . $form_url . '" METHOD="POST">' .
                              "\n" .
-                             '<TABLE WIDTH="100%" COLS=1 ALIGN=CENTER>' . "\n" .
-                             '<TR><TD BGCOLOR="' . $color[0] .
-                             '" ALIGN=CENTER>' . "\n" . '<STRONG>' .
-                             _("Update address") .
-                             "</STRONG>\n</TD></TR>\n</TABLE>\n";
+                             html_tag( 'table',
+                                html_tag( 'tr',
+                                   html_tag( 'td',
+                                      "\n". '<strong>' . _("Update address") . '</strong>' ."\n",
+                                      'center', $color[0] )
+                                   ),
+                             'center', '', 'width="100%" ' );
                         address_form("editaddr", _("Update address"), $olddata);
                         echo '<INPUT TYPE=hidden NAME=oldnick VALUE="' . 
                              htmlspecialchars($olddata["nickname"]) . "\">\n" .
@@ -184,20 +195,25 @@ if($REQUEST_METHOD == 'POST') {
                         /* Handle error messages */
                         if (!$r) {
                             /* Display error */
-                            echo '<TABLE WIDTH="100%" COLS=1 ALIGN=CENTER>' .
-                                 "\n" . '<TR><TD ALIGN=CENTER>' . "\n" .
-                                 '<br><STRONG><FONT COLOR="' . $color[2] .
-                                 '">' . _("ERROR") . ": " . $abook->error .
-                                 '</FONT></STRONG>' . "\n</TD></TR>\n</TABLE>\n";
+                             echo html_tag( 'table',
+                                html_tag( 'tr',
+                                   html_tag( 'td',
+                                      "\n". '<br><strong><font color="' . $color[2] .
+                                      '">' . _("ERROR") . ': ' . $abook->error . '</font></strong>' ."\n",
+                                      'center' )
+                                   ),
+                             'center', '', 'width="100%"' );
 
                             /* Display the "new address" form again */
-                            echo '<FORM ACTION="' . $PHP_SELF .
+                            echo '<FORM ACTION="' . $form_url .
                                  '" METHOD="POST">' . "\n" .
-                                 '<TABLE WIDTH="100%" COLS=1 ALIGN=CENTER>' .
-                                 "\n" . '<TR><TD BGCOLOR="' . $color[0] .
-                                 '" ALIGN=CENTER>' . "\n" . '<STRONG>' .
-                                 _("Update address") .
-                                 "</STRONG>\n</TD></TR>\n</TABLE>\n";
+                                 html_tag( 'table',
+                                     html_tag( 'tr',
+                                         html_tag( 'td',
+                                                    "\n". '<br><strong>' . _("Update address") . '</strong>' ."\n",
+                                         'center', $color[0] )
+                                     ),
+                                 'center', '', 'width="100%"' ) .
                             address_form("editaddr", _("Update address"), $newdata);
                             echo '<INPUT TYPE=hidden NAME=oldnick VALUE="' .
                                  htmlspecialchars($oldnick) . "\">\n" .
@@ -233,10 +249,14 @@ if($REQUEST_METHOD == 'POST') {
 
 /* Display error messages */
 if (!empty($formerror)) {
-    echo '<TABLE WIDTH="100%" COLS=1 ALIGN=CENTER>' . "\n" .
-         '<TR><TD ALIGN=CENTER>' . "\n" . '<br><STRONG>' .
-         '<FONT COLOR="' . $color[2]. '">' . _("ERROR") . ': ' . $formerror .
-         '</FONT></STRONG>' . "\n</TD></TR>\n</TABLE>\n";
+    echo html_tag( 'table',
+        html_tag( 'tr',
+            html_tag( 'td',
+                   "\n". '<br><strong><font color="' . $color[2] .
+                   '">' . _("ERROR") . ': ' . $formerror . '</font></strong>' ."\n",
+            'center' )
+        ),
+    'center', '', 'width="100%"' );
 }
 
 
@@ -253,37 +273,44 @@ if ($showaddrlist) {
     $prevbackend = -1;
     $headerprinted = false;
 
-    echo '<p align=center><a href="#AddAddress">' .
-         _("Add address") . "</a></p>\n";
+    echo html_tag( 'p', '<a href="#AddAddress">' . _("Add address") . '</a>', 'center' ) . "\n";
 
     /* List addresses */
     if (count($alist) > 0) {
-        echo '<FORM ACTION="' . $PHP_SELF . '" METHOD="POST">' . "\n";
+        echo '<FORM ACTION="' . $form_url . '" METHOD="POST">' . "\n";
         while(list($undef,$row) = each($alist)) {
     
             /* New table header for each backend */
             if($prevbackend != $row['backend']) {
-                if($prevbackend >= 0) {
-                    echo '<TR><TD COLSPAN=5 ALIGN=center>' . "\n" .
-                         '<INPUT TYPE=submit NAME=editaddr VALUE="' . 
-                         _("Edit selected") . "\">\n" .
-                         '<INPUT TYPE=submit NAME=deladdr VALUE="' .
-                         _("Delete selected") . "\">\n</tr>\n" .
-                         '<TR><TD COLSPAN="5" ALIGN=center>' .
-                         '&nbsp;<BR></TD></TR></TABLE>' . "\n";
+                if($prevbackend < 0) {
+                    echo html_tag( 'table',
+                                    html_tag( 'tr',
+                                          html_tag( 'td',
+                                                     '<INPUT TYPE=submit NAME=editaddr VALUE="' . 
+                                                     _("Edit selected") . "\">\n" .
+                                                     '<INPUT TYPE=submit NAME=deladdr VALUE="' .
+                                                     _("Delete selected") . "\">\n",
+                                          'center', '', 'colspan="5"' )
+                                    ) .
+                                    html_tag( 'tr',
+                                          html_tag( 'td', '&nbsp;<br>', 'center', '', 'colspan="5"' )
+                                    ) ,
+                             'center' );
                 }
     
-                echo '<TABLE WIDTH="95%" COLS=1 ALIGN=CENTER>' . "\n" .
-                     '<TR><TD BGCOLOR="' . $color[0] . '" ALIGN=CENTER>' . "\n" .
-                     '<STRONG>' . $row['source'] .
-                     "</STRONG>\n</TD></TR>\n</TABLE>\n" .
-                     '<TABLE COLS="5" BORDER="0" CELLPADDING="1" CELLSPACING="0"' .
-                     ' WIDTH="90%" ALIGN="center">' .
-                     '<TR BGCOLOR="' . $color[9] .
-                     '"><TH ALIGN=left WIDTH="1%">&nbsp;<TH ALIGN=left WIDTH="1%">' .
-                     _("Nickname") . '<TH ALIGN=left WIDTH="1%">' . _("Name") .
-                     '<TH ALIGN=left WIDTH="1%">' . _("E-mail") .
-                     '<TH ALIGN=left WIDTH="%">' . _("Info") . "</TR>\n";
+                echo html_tag( 'table',
+                                html_tag( 'tr',
+                                    html_tag( 'td', "\n" . '<strong>' . $row['source'] . '</strong>' . "\n", 'center', $color[0] )
+                                ) ,
+                        'center', '', 'width="95%"' ) ."\n"
+                . html_tag( 'table', '', 'center', '', 'border="0" cellpadding="1" cellspacing="0" width="90%"' ) .
+                      html_tag( 'tr', "\n" .
+                          html_tag( 'th', '&nbsp;', 'left', '', 'width="1%"' ) .
+                          html_tag( 'th', _("Nickname"), 'left', '', 'width="1%"' ) .
+                          html_tag( 'th', _("Name"), 'left', '', 'width="1%"' ) .
+                          html_tag( 'th', _("E-mail"), 'left', '', 'width="1%"' ) .
+                          html_tag( 'th', _("Info"), 'left', '', 'width="1%"' ) ,
+                      '', $color[9] ) . "\n";
     
                 $line = 0;
                 $headerprinted = true;
@@ -299,44 +326,56 @@ if ($showaddrlist) {
             }
     
             /* Print one row */
-            echo '<TR';
-            if ($line % 2) { echo ' bgcolor="' . $color[0]. '"'; }
-            echo '><TD VALIGN=top ALIGN=center WIDTH="1%"><SMALL>' .
-                 '<INPUT TYPE=checkbox ' . $selected . ' NAME="sel[]" VALUE="' .
-                 $row['backend'] . ':' . $row['nickname'] . '"></SMALL></TD>' .
-                 '<TD VALIGN=top NOWRAP WIDTH="1%">&nbsp;' . $row['nickname'] .
-                 '&nbsp;</TD>' .
-                 '<TD VALIGN=top NOWRAP WIDTH="1%">&nbsp;' . $row['name'] .
-                 '&nbsp;</TD>',
-                 '<TD VALIGN=top NOWRAP WIDTH="1%">&nbsp;' .
-                 '<A HREF="compose.php?send_to=' . rawurlencode($row['email']) .
-                 '">' . $row['email'] . '</A>&nbsp;</TD>'."\n",
-                 '<TD VALIGN=top WIDTH="1%">&nbsp;' . $row['label'] . '&nbsp;</TD>' .
-                 "</TR>\n";
+            $tr_bgcolor = '';
+            if ($line % 2) { $tr_bgcolor = $color[0]; }
+            echo html_tag( 'tr', '') .
+            html_tag( 'td',
+                '<SMALL>' .
+                '<INPUT TYPE=checkbox ' . $selected . ' NAME="sel[]" VALUE="' .
+                $row['backend'] . ':' . $row['nickname'] . '"></SMALL>' ,
+                'center', '', 'valign="top" width="1%"' ) .
+            html_tag( 'td', '&nbsp;' . $row['nickname'] . '&nbsp;', 'left', '', 'valign="top" width="1%" nowrap' ) .
+            html_tag( 'td', '&nbsp;' . $row['name'] . '&nbsp;', 'left', '', 'valign="top" width="1%" nowrap' ) .
+            html_tag( 'td', '', 'left', '', 'valign="top" width="1%" nowrap' ) . '&nbsp;';
+            $email = $abook->full_address($row);
+            if ($compose_new_win == '1') {
+                echo '<a href="javascript:void(0)" onclick=comp_in_new(false,"compose.php?send_to='.rawurlencode($email).'")>';
+            }
+            else {
+                echo '<A HREF="compose.php?send_to=' . rawurlencode($email).'">';
+            }
+            echo htmlspecialchars($row['email']) . '</A>&nbsp;</td>'."\n".
+            html_tag( 'td', '&nbsp;' . htmlspecialchars($row['label']) . '&nbsp;', 'left', '', 'valign="top" width="1%"' ) .
+            "</tr>\n";
             $line++;
         }
     
         /* End of list. Close table. */
         if ($headerprinted) {
-            echo '<TR><TD COLSPAN=5 ALIGN=center>' . "\n" .
-                 '<INPUT TYPE=submit NAME=editaddr VALUE="' . _("Edit selected") .
-                 "\">\n" .
-                 '<INPUT TYPE=submit NAME=deladdr VALUE="' . _("Delete selected") .
-                 "\">\n" . '</TR></TABLE>';
+            echo html_tag( 'tr',
+                        html_tag( 'td',
+                                '<INPUT TYPE="submit" NAME="editaddr" VALUE="' . _("Edit selected") .
+                                "\">\n" .
+                                '<INPUT TYPE="submit" NAME="deladdr" VALUE="' . _("Delete selected") .
+                                "\">\n",
+                         'center', '', 'colspan="5"' )
+                    );
         }
-        echo '</FORM>';
+        echo '</table></FORM>';
     }
 } /* end of addresslist */
 
 
 /* Display the "new address" form */
 echo '<a name="AddAddress"></a>' . "\n" .
-     '<FORM ACTION="' . $PHP_SELF . '" NAME=f_add METHOD="POST">' . "\n" .
-     '<TABLE WIDTH="100%" COLS=1 ALIGN=CENTER>' . "\n" .
-     '<TR><TD BGCOLOR="' . $color[0] . '" ALIGN=CENTER>' . "\n" . '<STRONG>',
-     sprintf(_("Add to %s"), $abook->localbackendname) .
-     "</STRONG>\n</TD></TR>\n" .
-     "</TABLE>\n";
+    '<FORM ACTION="' . $form_url . '" NAME=f_add METHOD="POST">' . "\n" .
+    html_tag( 'table',  
+        html_tag( 'tr',
+            html_tag( 'td', "\n". '<strong>' . sprintf(_("Add to %s"), $abook->localbackendname) . '</strong>' . "\n",
+                'center', $color[0]
+            )
+        )
+    , 'center', '', 'width="100%"' ) ."\n";
 address_form('addaddr', _("Add address"), $defdata);
 echo '</FORM>';
 
@@ -344,4 +383,4 @@ echo '</FORM>';
 do_hook('addressbook_bottom');
 ?>
 
-</BODY></HTML>
+</BODY></HTML>
\ No newline at end of file