ChrisB: /Email: Schutz vor Headerinjektion

Beitrag lesen

Hi,

BTW: Die potenziell "gefährliche" Benutzerangabe von Absendername und -adresse

Subject ist genauso "gefaehrdet".

ist doch im Normalfall ein Name und eine Emailadresse. Beides enthält (meines Wissens nach) nie einen Doppelpunkt. Dieser wiederum ist aber in jeder Header-Angabe erforderlich. Wäre es demnach nicht eine Möglichkeit, neben den Zeilenumbrüchen, auch nach dem Vorhandensein eines solchen zu suchen, und dann die Eingabe nicht zu akzeptieren/verarbeiten?

Im Subject dann konsequenterweise auch?
Dann koennte/duerfte ich dir also keine Mails mehr schreiben, in denen "Unser Preisangebot: 345,- EUR" o.ae. steht ...?

MfG ChrisB