Se apoderaron de mi servidor! Ayuda por favor

[kilburn]

Pues sí, ese form es "petable". En la función "enviar()", vemos lo siguiente:

PHP Code:

...
                $denombre = trim($_POST["fld_{$_POST['motivo']}_nombre"]);
...
        $message = Swift_Message::newInstance()->
          setSubject($asunto)->
          setFrom(array($de => $denombre))->
          setTo(array($para))->
          setBody($texto, 'text/html');
... 


Es decir, se utiliza un campo que viene del usuario directamente como nombre del remitente, sin comprobar nada. Resulta que el nombre del remitente va en las cabeceras del mensaje, así que esencialmente le damos la posibilidad de hacer lo que le salga de los webos a un atacante