「tDiary にクロスサイトスクリプティング脆弱性」記事へのコメント

何の機能

[O1iver (31019)]

何の機能を悪用したものなのでしょうか?
もうちょっと詳しく説明してくれないでしょうかね。

#まあ説明しちゃったら悪用されるかもしれないっていうんだろうけど。

Re:何の機能

[deleted user (19654)]

機能を悪用したというか、単に設定画面でのサニタイズ漏れなので、
変な URL をクリックしたらスクリプト入り設定画面に飛んで、
勝手に日記を書き換えられたり日記の重要なデータを盗まれたり
しちゃうかも、ということのようです。おそらく。

Re:何の機能

[deleted user (19654)]

tDiary をお使いのかたなら、
「追記」あるいは「編集」をクリックして、
そこから「設定」をクリックすると設定画面になることを
ご存じと思いますが、その「設定」リンクは

update.rb?conf=default

となっています。たぶんこの「default」という
任意入力をエスケイプすることなく設定画面の
HTML に出力しちゃっていたので、conf=<script>alert()...
みたいなことができかねない、ということかと。