Securityfix - XSS Lücke in LV-Plan behoben

cis/private/lvplan/stpl_week.php

@@ -151,6 +151,8 @@ if(strlen($grp)>2)
 	die('Gruppe ist ungueltig');
 if(isset($datum) && !is_numeric($datum))
 	die('Datum ist ungueltig');
+if(!check_ort($ort_kurzbz))
+	die('Ort ist ungueltig');
 
 $berechtigung=new benutzerberechtigung();
 $berechtigung->getBerechtigungen($uid);

include/functions.inc.php

@@ -58,6 +58,18 @@ function check_stsem($stsem)
 	return preg_match('/^[WS][S][0-9]{4}$/', $stsem);	
 }
 
+/**
+ * Prueft ob die ort_kurzbz ein gueltiges Format hat
+ * @param $ort_kurzbz Kurzbezeichnung eines Ortes
+ */
+function check_ort($ort_kurzbz)
+{
+	if(preg_match('/^[A-Za-z0-9_.\-]{0,16}$/', $ort_kurzbz)) 
+		return true;
+	else
+		return false;
+}
+
 function check_lektor($uid)
 {
 	$db = new basis_db();