Remove evil css styles like expression() in HTML messages

thomascube

2008-04-02 a3e5b42e0debc9a31133c78e8e4f71169484e4a0

 program/include/main.inc

@@ -5,7 +5,7 @@
 | program/include/main.inc                                              |
 |                                                                       |
 | This file is part of the RoundCube Webmail client                     |
 | Copyright (C) 2005-2007, RoundCube Dev, - Switzerland                 |
 | Copyright (C) 2005-2008, RoundCube Dev, - Switzerland                 |
 | Licensed under the GNU GPL                                            |
 |                                                                       |
 | PURPOSE:                                                              |
@@ -26,13 +26,14 @@
 * @author Thomas Bruederli <roundcube@gmail.com>
 */

require_once('lib/des.inc');
require_once('lib/utf7.inc');
require_once('lib/utf8.class.php');
require_once('include/rcube_user.inc');
require_once('include/rcube_shared.inc');
require_once('include/rcmail_template.inc');

// fallback if not PHP modules are available
@include_once('lib/des.inc');
@include_once('lib/utf8.class.php');

// define constannts for input reading
define('RCUBE_INPUT_GET', 0x0101);
@@ -57,6 +58,11 @@
  // load configuration
  $CONFIG = rcmail_load_config();

  // set session domain
  if (isset($CONFIG['session_domain']) && !empty($CONFIG['session_domain'])) {
    ini_set('session.cookie_domain', $CONFIG['session_domain']);
  }

  // set session garbage collecting time according to session_lifetime
  if (!empty($CONFIG['session_lifetime']))
    ini_set('session.gc_maxlifetime', ($CONFIG['session_lifetime']) * 120);
@@ -68,6 +74,7 @@
  
  $DB = new $dbclass($CONFIG['db_dsnw'], $CONFIG['db_dsnr'], $CONFIG['db_persistent']);
  $DB->sqlite_initials = $INSTALL_PATH.'SQL/sqlite.initial.sql';
  $DB->set_debug((bool)$CONFIG['sql_debug']);
  $DB->db_connect('w');

  // use database for storing session data
@@ -283,6 +290,9 @@
function rcmail_set_imap_prop()
  {
  global $CONFIG, $IMAP;
  
  if (!empty($CONFIG['default_charset']))
    $IMAP->set_charset($CONFIG['default_charset']);

  // set root dir from config
  if (!empty($CONFIG['imap_root']))
@@ -376,7 +386,7 @@
  if (strlen($CONFIG[$config_key]))
    return $CONFIG[$config_key];
  
  return $table;
  return $sequence;
  }


@@ -761,10 +771,30 @@
 * @return string Encryprted string
 */
function encrypt_passwd($pass)
  {
  $cypher = des(get_des_key(), $pass, 1, 0, NULL);
  return base64_encode($cypher);
{
  if (function_exists('mcrypt_module_open') && ($td = mcrypt_module_open(MCRYPT_TripleDES, "", MCRYPT_MODE_ECB, ""))) {
    $iv = mcrypt_create_iv(mcrypt_enc_get_iv_size($td), MCRYPT_RAND);
    mcrypt_generic_init($td, get_des_key(), $iv);
    $cypher = mcrypt_generic($td, $pass);
    mcrypt_generic_deinit($td);
    mcrypt_module_close($td);
  }
  else if (function_exists('des')) {
    $cypher = des(get_des_key(), $pass, 1, 0, NULL);
  }
  else {
    $cypher = $pass;
    
    raise_error(array(
      'code' => 500,
      'type' => 'php',
      'file' => __FILE__,
      'message' => "Could not convert encrypt password. Make sure Mcrypt is installed or lib/des.inc is available"
      ), true, false);
  }
  
  return base64_encode($cypher);
}


/**
@@ -774,8 +804,21 @@
 * @return string Plain password
 */
function decrypt_passwd($cypher)
  {
  $pass = des(get_des_key(), base64_decode($cypher), 0, 0, NULL);
{
  if (function_exists('mcrypt_module_open') && ($td = mcrypt_module_open(MCRYPT_TripleDES, "", MCRYPT_MODE_ECB, ""))) {
    $iv = mcrypt_create_iv(mcrypt_enc_get_iv_size($td), MCRYPT_RAND);
    mcrypt_generic_init($td, get_des_key(), $iv);
    $pass = mdecrypt_generic($td, base64_decode($cypher));
    mcrypt_generic_deinit($td);
    mcrypt_module_close($td);
  }
  else if (function_exists('des')) {
    $pass = des(get_des_key(), base64_decode($cypher), 0, 0, NULL);
  }
  else {
    $pass = base64_decode($cypher);
  }
  
  return preg_replace('/\x00/', '', $pass);
  }

@@ -901,9 +944,11 @@
function rcube_charset_convert($str, $from, $to=NULL)
  {
  global $MBSTRING;
  static $convert_warning = false;

  $from = strtoupper($from);
  $to = $to==NULL ? strtoupper(RCMAIL_CHARSET) : strtoupper($to);
  $error = false; $conv = null;

  if ($from==$to || $str=='' || empty($from))
    return $str;
@@ -914,49 +959,69 @@
    'X-USER-DEFINED' => 'ISO-8859-15',
    'ISO-8859-8-I'   => 'ISO-8859-8',
    'KS_C_5601-1987' => 'EUC-KR',
    'GB2312'         => 'GB18030'
  );

  // convert charset using iconv module  
  if (function_exists('iconv') && $from != 'UTF-7' && $to != 'UTF-7')
    {
    $aliases['GB2312'] = 'GB18030';
    return iconv(($aliases[$from] ? $aliases[$from] : $from), ($aliases[$to] ? $aliases[$to] : $to) . "//IGNORE", $str);
    }

  // convert charset using mbstring module  
  if ($MBSTRING)
    {
    $mb_map = $aliases + array('UTF-7' => 'UTF7-IMAP');
    $aliases['UTF-7'] = 'UTF7-IMAP';
    $aliases['WINDOWS-1257'] = 'ISO-8859-13';
    
    // return if convert succeeded
    if (($out = mb_convert_encoding($str, ($mb_map[$to] ? $mb_map[$to] : $to), ($mb_map[$from] ? $mb_map[$from] : $from))) != '')
    if (($out = mb_convert_encoding($str, ($aliases[$to] ? $aliases[$to] : $to), ($aliases[$from] ? $aliases[$from] : $from))) != '')
      return $out;
    }

  $conv = new utf8();
    
  
  if (class_exists('utf8'))
    $conv = new utf8();

  // convert string to UTF-8
  if ($from=='UTF-7')
  if ($from == 'UTF-7')
    $str = utf7_to_utf8($str);
  else if (($from=='ISO-8859-1') && function_exists('utf8_encode'))
  else if (($from == 'ISO-8859-1') && function_exists('utf8_encode'))
    $str = utf8_encode($str);
  else if ($from!='UTF-8')
  else if ($from != 'UTF-8' && $conv)
    {
    $conv->loadCharset($from);
    $str = $conv->strToUtf8($str);
    }
  else if ($from != 'UTF-8')
    $error = true;

  // encode string for output
  if ($to=='UTF-7')
  if ($to == 'UTF-7')
    return utf8_to_utf7($str);
  else if ($to=='ISO-8859-1' && function_exists('utf8_decode'))
  else if ($to == 'ISO-8859-1' && function_exists('utf8_decode'))
    return utf8_decode($str);
  else if ($to!='UTF-8')
  else if ($to != 'UTF-8' && $conv)
    {
    $conv->loadCharset($to);
    return $conv->utf8ToStr($str);
    }
  else if ($to != 'UTF-8')
    $error = true;

  // report error
  if ($error && !$convert_warning)
    {
    raise_error(array(
      'code' => 500,
      'type' => 'php',
      'file' => __FILE__,
      'message' => "Could not convert string charset. Make sure iconv is installed or lib/utf8.class is available"
      ), true, false);
    
    $convert_warning = true;
    }
  
  // return UTF-8 string
  return $str;
  }
@@ -1312,6 +1377,7 @@

/**
 * Replace all css definitions with #container [def]
 * and remove css-inlined scripting
 *
 * @param string CSS source code
 * @param string Container ID to use as prefix
@@ -1321,6 +1387,10 @@
  {
  $a_css_values = array();
  $last_pos = 0;
  
  // ignore the whole block if evil styles are detected
  if (stristr($source, 'expression') || stristr($source, 'behavior'))
    return '';

  // cut out all contents between { and }
  while (($pos = strpos($source, '{', $last_pos)) && ($pos2 = strpos($source, '}', $pos)))
@@ -1331,7 +1401,7 @@
    $last_pos = $pos+2;
  }

  // remove html commends and add #container to each tag selector.
  // remove html comments and add #container to each tag selector.
  // also replace body definition because we also stripped off the <body> tag
  $styles = preg_replace(
    array(
@@ -1502,7 +1572,10 @@
function format_email_recipient($email, $name='')
  {
  if ($name && $name != $email)
    return sprintf('%s <%s>', strpos($name, ",") ? '"'.$name.'"' : $name, $email);
    {
    // Special chars as defined by RFC 822 need to in quoted string (or escaped).
    return sprintf('%s <%s>', preg_match('/[\(\)\<\>\\\.\[\]@,;:"]/', $name) ? '"'.addcslashes($name, '"').'"' : $name, $email);
    }
  else
    return $email;
  }
@@ -1839,4 +1912,20 @@
}


/**
 * Try to localize the given IMAP folder name.
 * UTF-7 decode it in case no localized text was found
 *
 * @param string Folder name
 * @return string Localized folder name in UTF-8 encoding
 */
function rcmail_localize_foldername($name)
{
  if ($folder_class = rcmail_folder_classname($name))
    return rcube_label($folder_class);
  else
    return rcube_charset_convert($name, 'UTF-7');
}


?>