Fehlermeldung nach Update auf 3.5.21

[scroll]

Hallo,

ich habe ein Formular mit dem Feldtyp Textfeld angelegt: Feldname email, Feldbezeichnung E-Mail.
Das Feld ist kein Pflichtfeld, somit habe ich auch keine Eingabeprüfung aktiviert.

Ich erhalte folgende Fehlermeldung (Frontend) wenn ich im Feld E-Mail keine valide Adresse eingebe:

Fatal error: Uncaught exception Swift_RfcComplianceException with message Address in mailbox given [asDasdasd] does not comply with RFC 2822, 3.6.2. thrown in vendor/swiftmailer/swiftmailer/lib/classes/Swift/Mime/Headers/MailboxHeader.php on line 347

#0 vendor/swiftmailer/swiftmailer/lib/classes/Swift/Mime/Headers/MailboxHeader.php(263): Swift_Mime_Headers_MailboxHeader->_assertValidAddress('asDasdasd')
#1 vendor/swiftmailer/swiftmailer/lib/classes/Swift/Mime/Headers/MailboxHeader.php(106): Swift_Mime_Headers_MailboxHeader->normalizeMailboxes(Array)
#2 vendor/swiftmailer/swiftmailer/lib/classes/Swift/Mime/Headers/MailboxHeader.php(63): Swift_Mime_Headers_MailboxHeader->setNameAddresses(Array)
#3 vendor/swiftmailer/swiftmailer/lib/classes/Swift/Mime/SimpleHeaderFactory.php(58): Swift_Mime_Headers_MailboxHeader->setFieldBodyModel(Array)
#4 vendor/swiftmailer/swiftmailer/lib/classes/Swift/Mime/SimpleHeaderSet.php(68): Swift_Mime_SimpleHeaderFactory->createMailboxHeader('Reply-To', Array)
#5 vendor/swiftmailer/swiftmailer/lib/classes/Swift/Mime/SimpleMessage.php(274): Swift_Mime_SimpleHeaderSet->addMailboxHeader('Reply-To', Array)
#6 system/modules/core/library/Contao/Email.php(361): Swift_Mime_SimpleMessage->setReplyTo(Array)
#7 system/modules/core/forms/Form.php(385): Contao\Email->replyTo('asDasdasd')
#8 system/modules/core/forms/Form.php(249): Contao\Form->processFormData(Array, Array, Array)
#9 system/modules/core/classes/Hybrid.php(239): Contao\Form->compile()
#10 system/modules/core/forms/Form.php(84): Contao\Hybrid->generate()
#11 system/modules/core/library/Contao/Controller.php(484): Contao\Form->generate()
#12 system/modules/core/modules/ModuleArticle.php(213): Contao\Controller::getContentElement(Object(Contao\ContentModel), 'main')
#13 system/modules/core/modules/Module.php(287): Contao\ModuleArticle->compile()
#14 system/modules/core/modules/ModuleArticle.php(67): Contao\Module->generate()
#15 system/modules/core/library/Contao/Controller.php(417): Contao\ModuleArticle->generate(false)
#16 system/modules/core/library/Contao/Controller.php(277): Contao\Controller::getArticle(Object(Contao\ArticleModel), false, false, 'main')
#17 system/modules/core/pages/PageRegular.php(133): Contao\Controller::getFrontendModule('0', 'main')
#18 system/modules/core/controllers/FrontendIndex.php(285): Contao\PageRegular->generate(Object(Contao\PageModel), true)
#19 index.php(20): Contao\FrontendIndex->run()
#20 {main}

Aktiviere ich jedoch die Eingabeprüfung auf E-Mail-Adresse, ohne das Feld als Pflichtfeld zu definieren, erhalte ich die richtige Meldung vom Browser, dieses Feld korrekt auszufüllen.

Ich habe in der Vergangenheit noch nie die Eingabeprüfung verwendet, wenn das Feld nicht als Pflichtfeld definiert war. Und das hatte auch immer funktioniert.

War das verkehrt oder hat sich da was durch das Update auf 3.5.21 (Sicherheitslücke SwiftMailer) geändert?

Gruß Michael

[fiedsch]

Ich nehme an, Du hast folgende Situation: E-Mail ist kein Pflichtfeld und das Formular soll dann an die "angegebene" E-Mail Adresse verschicken (oder diese im CC verewenden o.Ä.). Damit muss die Eingabe zwar nicht validiert werden, aber wenn die E-Mail verschickt werden soll, wird der übergebene Wert von SwiftMailer validiert, bevor er verwendt wird und dann bekommst Du die Meldung, daß der Wert keine gültige E-Mail ist.

Ich verstehe das Problem noch nicht ganz: was sollte denn deiner Meineung nach mit der ungülzigen E-Mail-Adresse passieren?

[scroll]

Ich nehme an, Du hast folgende Situation: E-Mail ist kein Pflichtfeld und das Formular soll dann an die "angegebene" E-Mail Adresse verschicken (oder diese im CC verewenden o.Ä.).

Nein, die Daten bekomme ich an die im Backend definierte Mailadresse gesendet. Wenn ich das Feld mit dem Feldnamen email benenne kann ich die Antwortfunktion meines Mailprogramms nutzen. Also alles gut :-)

Ich verstehe das Problem noch nicht ganz: was sollte denn deiner Meineung nach mit der ungülzigen E-Mail-Adresse passieren?

Es geht eigentlich nur darum das ich, wenn ich ein Feld nicht als Pflichtfeld definiert habe, auch keine Eingabeprüfung aktiviert habe. Das hat in der Vergangenheit immer auch bei einer Mailadresse funktioniert, seit dem Update muss ich aber den Haken bei Eingabeprüfung setzen.

Das ist natürlich nicht tragisch, ich hatte mich jetzt nur gewundert.

[fiedsch]

Dann hatte ich Dein Problem falsch verstanden. Mir ist auch nicht klar, warum die Validierung von Swiftmailer in's Spiel kommt, wenn die E-Mail-Adresse von Swiftmailer beim Versand gar nicht verwendet wird.

[lucina]

Sie wird ja verwendet - allerdings ist "asDasdasd" ja nun wirklich keine valide Adresse, die Swiftmailer da für 'reply-to' untergeschoben werden soll. Weiter: Ich finde die Eingabeprüfung an dieser Stelle vollkommen sinnvoll, denn wenn man das Feld so benennt, dass die Antwortfunktion greift, dann hat man doch im Regelfall die Absicht, die Mail auch zu beantworten. Also möchte man doch eine valide Mailadresse, oder nicht?

[tab]

Ich habe in der Vergangenheit noch nie die Eingabeprüfung verwendet, wenn das Feld nicht als Pflichtfeld definiert war. Und das hatte auch immer funktioniert.

War das verkehrt oder hat sich da was durch das Update auf 3.5.21 (Sicherheitslücke SwiftMailer) geändert?

Gruß Michael

Ja, das war verkehrt, ist aber nicht aufgefallen, weil Swiftmailer da bisher wohl keine oder keine ausreichende Validierung der eingegebenen E-Mail Adresse(n) durchgeführt hat, was eben genau die nun geschlossene Sicherheitslücke war.

[mlweb]

... denn wenn man das Feld so benennt, dass die Antwortfunktion greift, dann hat man doch im Regelfall die Absicht, die Mail auch zu beantworten. Also möchte man doch eine valide Mailadresse, oder nicht?

Wieder mal schön auf den Punkt gebracht.

[scroll]

Sie wird ja verwendet - allerdings ist "asDasdasd" ja nun wirklich keine valide Adresse, die Swiftmailer da für 'reply-to' untergeschoben werden soll.

Ob jetzt asDasdasd oder wasweissich, das spielt doch keine Rolle. Nicht valide ist nicht valide!

... denn wenn man das Feld so benennt, dass die Antwortfunktion greift, dann hat man doch im Regelfall die Absicht, die Mail auch zu beantworten. Also möchte man doch eine valide Mailadresse, oder nicht?

Naja, die browsereigene Validierung war bis jetzt ausreichend.

Ja, das war verkehrt, ist aber nicht aufgefallen, weil Swiftmailer da bisher wohl keine oder keine ausreichende Validierung der eingegebenen E-Mail Adresse(n) durchgeführt hat, was eben genau die nun geschlossene Sicherheitslücke war.

Damit ist alles erklärt.

Vielmehr geht es doch auch darum das vielleicht nicht wenige das Update durchführen, und vielleicht auch die Eingabeprüfung nicht deaktiviert hatten, da nicht als Pflichtfeld definiert. Und mir ist es jetzt nur aufgefallen weil ich das Formular anschließend geprüft hatte.

Wünsche noch einen schönen Sonntag!

Gruß Michael

[Spooky]

Naja, die browsereigene Validierung war bis jetzt ausreichend.

Die geschieht aber nur, wenn du die Eingabeprüfung aktivierst.

[Andreas]

Der gedankliche Ansatz ist falsch. Wenn du ein Feld zum Ausfüllen anbietest, egal ob Pflicht oder nicht. Willst du doch dafür sorgen, dass, wenn es ausgefüllt wird, eine Validierung stattfindet. Die Frage wäre also: Bedarf dieses Feld einer Validierung? Und nicht: Ist das Feld ein Pflichtfeld?

Wenn du ein optionales E-Mail-Feld benutzen möchtest, welches du nicht validieren möchtest, dann vergebe nicht den Feldnamen "email". Weil der SwiftMailer dieses Feld email wohl ins ReplyTo setzen möchte und das evtl. nicht geht, wenn es leer ist.