From f9413001b7f59a0a1ba791cc1c550d7268e7733a Mon Sep 17 00:00:00 2001
From: Moritz Bunkus <m.bunkus@linet-services.de>
Date: Mon, 9 Jul 2007 07:52:41 +0000
Subject: [PATCH] =?utf8?q?Verhindern,=20dass=20durch=20Manipulation=20von?=
 =?utf8?q?=20$form->{callback}=20beliebiger=20Code=20ausgef=C3=BChrt=20wer?=
 =?utf8?q?den=20kann.?=
MIME-Version: 1.0
Content-Type: text/plain; charset=utf8
Content-Transfer-Encoding: 8bit

---
 SL/Form.pm    | 1 +
 doc/changelog | 2 ++
 2 files changed, 3 insertions(+)

diff --git a/SL/Form.pm b/SL/Form.pm
index d510710b7..978a01596 100644
--- a/SL/Form.pm
+++ b/SL/Form.pm
@@ -692,6 +692,7 @@ sub redirect {
 
     ($script, $argv) = split(/\?/, $self->{callback}, 2);
     $script =~ s|.*/||;
+    $script =~ s|[^a-zA-Z_\.]||g;
     exec("perl", "$script", $argv);
 
   } else {
diff --git a/doc/changelog b/doc/changelog
index 80789179e..b8c87f71c 100644
--- a/doc/changelog
+++ b/doc/changelog
@@ -117,6 +117,8 @@
 
   Bugfixes:
 
+  - Es wurde verhindert, dass durch Manipulation von $form->{callback}
+    beliebiger Code ausgeführt werden kann.
   - Webdav: Wenn eine Pfadkomponente Leerzeichen enthielt
     (z.B. "Storno zu ..."), dann wurden komplett falsche Links erzeugt.
   - Bei Einkaufsrechnungen wurde das falsche Datumsfeld zur Berechnung
-- 
2.20.1