「MozillaのFTPビューにXSS脆弱性」記事へのコメント

JS止めただけでは完全ではない（と思う

[Anonymous Coward]

FTP Viewを fake する方は JavaScript(JS)で実現しているものでは
ないので JSを止めるだけではダメだと思います。

今のところ、1.1 Beta か nighlty build、あるいは
手でパッチ当ててビルド... Bug# 何番だろう。

Re:JS止めただけでは完全ではない（と思う

[Anonymous Coward]

ちなみに fake ではなくもう一つの JS の不正な実行については
site policy の設定で回避できると思います。

たとえば site policy で bugzilla.mozilla.org は許可して
それ以外は禁止すると、bugzilla.mozilla.org以下のページでは
JSは動きますがデモにある ftp.mozilla.org を使ったコードは
動作しません。

http://www.mozilla.gr.jp/ml/logs/moz-users/4800/4884.html [mozilla.gr.jp]

Re:JS止めただけでは完全ではない（と思う

[Anonymous Coward]

> 手でパッチ当ててビルド... Bug# 何番だろう。

mozilla/netwerk/streamconv/converters/nsIndexedToHTML.cpp [mozilla.org]
rev 1.28 の修正 [mozilla.org]っぽいですね。
該当する bug 154030 [mozilla.org] は権限がなくて内容が見れませんが。

日付が 6/25 だったので、