🚀 go-pugleaf

El Thu, 03 Nov 2005 19:03:27 +0100, |Colegota|
<colenius@telefonica.net> escribi�:
>El c�digo del formulario es muy simple y desde luego no mete ning�n bcc:.
>Llama a un php que "compone" las direcciones de correo y el mensaje y env�a
>mediante la funci�n mail().
>
>El php no lo pongo porque entiendo es que se consigue emular el
>funcionamiento del formulario o ejecutarlo a distancia para llamarle a �l.

El problema no est� en el HTML como t� piensas. Como no compruebas qu�
te env�an como remitente se est�n aprovechando de tu inocencia :)

Imag�nate que tienes un remitente que t� piensas que es del tipo
pepe@dominio.com que generar�a una cabecera del tipo:

From: pepe@dominio.com
o bien
From: "Pepito Gonz�lez" <pepe@dominio.com>

Pero te env�an pepe@dominio.com\nTo: victima@spam.com\n

En cuyo caso env�ar�as algo como:
From: pepe@dominio.com
To: victima@spam.com

Que reemplazar�a el "rcpt to" original, o bien puedes enviar cualquier
otra cabecera.

Lo que debes hacer en PHP es limitar los caracteres de entrada a un
n�mero reducido como por ejemplo...

preg_replace('\[^A-Za-z0-9\-\.\@_]\', '', $destinatario);

Un saludo.

-- 
�scar Javier Garc�a Baudet
LinaresDigital
http://redstar.linaresdigital.com/