アカウント名:
パスワード:
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
アレゲは一日にしてならず -- アレゲ見習い
またかって感じ (スコア:4, 興味深い)
というか、今もある。
これについてはサイボウズも認識しているはずなのですが放置プレイのままです。
Login用のクッキーはエンコードしてあるんだけど、アカウントを渡すパラメータが平文のままで、こいつを偽装すると成り済ましが可能ってのはバグとかミスとかって過失の問題ではなくデザインとかセキュリティをないがしろにする姿勢の問題なんじゃないかと。
＃ガルーンを使っている人は試してみよう！
そう言う風に姿勢の問題だと思えば、今回の対応なんかも、なるほどって納得できるよね。
ガルーン２になって直っている風情なんですが、２は２で製品のラインナップ上の問題がいろいろあるので簡単には乗り換えられないし。
Re:またかって感じ (スコア:1, 興味深い)
というか、シングルサインオンを使ってこの脆弱性があるってことだと他のシステムへも問題が波及するわけで、ある意味もっと大問題。
平文で渡され、PC側で管理されるクッキーを認証情報として利用しようってのがそもそもの大間違い。
でも、きっとこういうのってなかなか心入れ替えないんだろうなぁ。