Hallo zusammen

Nachdem nun meine PM`s laufen habe ich folgenden Bug festgestellt.

Ein User kann eine PM verschicken und dies ohne Angabe des Absenders, dazu löscht er nach dem einloggen einfach den usernamen aus dem Feld heraus.
Ich habe den pm Message hack 2.0 von scriptkeeper.de laufen.

Lässt man bei diesem Hach die Felder Thema oder Nachricht lehr kommt es zu einer erneuten Abfrage der eingaben. Bei Username oder Passwort leider nicht.

Dieser Code ist glaube ich dafür verantwortlich:
if ($in{'action'} eq "send") {
&user_check;
&valid_recip;
&check_pm_status;
if ($prsubject eq $null || $prmessage eq $null) {

&print_header1;

print "<font face=$FontFace size=$TextSize><B>Bitte füllen Sie alle Felder aus und klicken sie dann "private Nachricht senden" !!!</B>n";
print "<form action="$cgi_url/$sendprivate" method="POST">n";
print "<input type=hidden name=action value=send>n";
print "<INPUT TYPE="hidden" name="user" value="$user">n";
print "<INPUT TYPE="hidden" name="pass" value="$pass">n";
print "<INPUT TYPE="hidden" name="sendto" value="$to">n";
print "<INPUT TYPE="hidden" name="MsgIcon" value="$MsgIcon">n";
print "<table border=0 cellpadding=4 cellspacing=1 bgcolor=000000 width=$TableWidth align=center>";
if ($prsubject eq $null) {
print "<tr $AltColumnColor2><td><b><font face=$FontFace size=$TextSize><B>Thema:</td><td><input type=text name=subject size=40></td></tr>n";
}
else {
print "<INPUT TYPE="hidden" name="subject" value="$prsubject">n";
}

if ($prmessage eq $null) {
print "<tr $AltColumnColor2><td valign=top><font face=$FontFace size=$TextSize><b>Beitrag:</td><td><TEXTAREA NAME="message" ROWS=5 COLS=35 WRAP="VIRTUAL"></TEXTAREA></td></tr>n";
}
else {
print "<INPUT TYPE="hidden" name="message" value="$prmessage">n";
}
print "</table>

<input type=submit value="private Nachricht senden"></form>";
&print_footer;
exit;
}

Ich habe dann versucht bei
if ($prsubject eq $null &#0124;&#0124; $prmessage eq $null)
&#0124;&#0124; $user eq $null
und bei
if ($prsubject eq $null) {
print "<tr $AltColumnColor2><td><b><font face=$FontFace size=$TextSize><B>Thema:</td><td><input type=text name=subject size=40></td></tr>n";
}
if ($user eq $null) {
print "<tr $AltColumnColor2><td><b><font face=$FontFace size=$TextSize><B>Thema:</td><td><input type=text name=user size=40></td></tr>n";
}
hinzuzufügen. Ohne Erfolg
Nicht nur das Ein User ohne Absender schicken kann, nein es ist auch möglich einen falschen Absender einzutragen. Das ist natürlich fatal.
Ansonsten gäbe es ja noch die Möglichkeit per yavaScript eine Eingabe zu erzwingen.

Ich hoffe es kann mir jemand helfen

Gruß schlepptau