adminandClaude Opus 5
464c08f414
$_POST["ftt"] wurde nur auf "nicht leer" geprueft und dann roh in die exec()-Kommandozeile gehaengt. Ein Wert wie "12:00 2>&1; befehl #" fuehrte damit beliebige Shell-Befehle als Web-Benutzer aus. Das Formularfeld ist ein <input type="time">, liefert also HH:MM. Der Wert wird jetzt gegen genau dieses Format geprueft; alles andere gilt als "keine Ladeplanung" und nimmt den vorhandenen else-Zweig. Zusaetzlich gehen ftt und setTime durch escapeshellarg(). fte und evAmp waren durch die Vergleichs-Klemmung bereits faktisch numerisch, laufen jetzt aber ueber intval() und eigene Variablen statt ueber $_POST. Fuer gueltige Eingaben ist die erzeugte Kommandozeile unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>