Verhindern, dass durch Manipulation von $form->{callback} beliebiger Code ausgeführt...

diff --git a/SL/Form.pm b/SL/Form.pm
index d510710..978a015 100644 (file)
--- a/SL/Form.pm
+++ b/SL/Form.pm
@@ -692,6 +692,7 @@ sub redirect {
 
     ($script, $argv) = split(/\?/, $self->{callback}, 2);
     $script =~ s|.*/||;
+    $script =~ s|[^a-zA-Z_\.]||g;
     exec("perl", "$script", $argv);
 
   } else {

diff --git a/doc/changelog b/doc/changelog
index 8078917..b8c87f7 100644 (file)
--- a/doc/changelog
+++ b/doc/changelog
@@ -117,6 +117,8 @@
 \r
   Bugfixes:\r
 \r
+  - Es wurde verhindert, dass durch Manipulation von $form->{callback}\r
+    beliebiger Code ausgeführt werden kann.\r
   - Webdav: Wenn eine Pfadkomponente Leerzeichen enthielt\r
     (z.B. "Storno zu ..."), dann wurden komplett falsche Links erzeugt.\r
   - Bei Einkaufsrechnungen wurde das falsche Datumsfeld zur Berechnung\r