Sicherheitslücke in Web.de-Freemail?

[thomas]

Anscheinend habe ich gestern selber eine Sicherheitslücke in Freemail gefunden. Das ganze hat eigentlich ganz harmlos angefangen: ich wollte ein PHP-Script testen, das HTML-Mails verschicken kann:

<?php

$message = "<h1>Hello world!<h1>";
$to = $_GET["to"];
$subject = "HTML-Test";
$xtra = "From: [e-mail] ";
$xtra .= "Content-Type: text/html Content-Transfer-Encoding: 8bit ";
$xtra .= "X-Mailer: PHP ". phpversion();

mail($to,
$subject,
$message,
$xtra);

?>

Also schick ich die Mail an meine Web.de-Adresse und siehe da: Freemail erkennt die HTML-Email nicht als HTML-Email! Habs dann noch mit Arcor und GMX getestet, die merken es sofort und bringen den entsprechenden Sicherheitshinweis. Was sagt ihr dazu?