Verhindern, dass durch Manipulation von $form->{callback} beliebiger Code ausgeführt...

diff --git a/SL/Form.pm b/SL/Form.pm
index d510710b718363e35c7ec2759f4f9ae3fb88b1e1..978a01596a90e835eebe9b0f9a76ad5796e3e3da 100644 (file)
--- a/SL/Form.pm
+++ b/SL/Form.pm
@@ -692,6 +692,7 @@ sub redirect {
 
     ($script, $argv) = split(/\?/, $self->{callback}, 2);
     $script =~ s|.*/||;
+    $script =~ s|[^a-zA-Z_\.]||g;
     exec("perl", "$script", $argv);
 
   } else {

diff --git a/doc/changelog b/doc/changelog
index 80789179ef63cde037982d62c85c1bb562b80016..b8c87f71ccecd2b827691d96bfd12e696943b9df 100644 (file)
--- a/doc/changelog
+++ b/doc/changelog
@@ -117,6 +117,8 @@
 \r
   Bugfixes:\r
 \r
+  - Es wurde verhindert, dass durch Manipulation von $form->{callback}\r
+    beliebiger Code ausgeführt werden kann.\r
   - Webdav: Wenn eine Pfadkomponente Leerzeichen enthielt\r
     (z.B. "Storno zu ..."), dann wurden komplett falsche Links erzeugt.\r
   - Bei Einkaufsrechnungen wurde das falsche Datumsfeld zur Berechnung\r