パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

@nifty掲示板に重大なXSS脆弱性が発覚」記事へのコメント

  • by Anonymous Coward
    楽天日記はまだスタイルシートが無制限に使えて画面偽装出来るようですが何か。

    楽天日記の場合、タグのサニタイジングは要素名で判断、Javascript対策は全文検索をかけて半角文字でdocumentのような javascriptで使われる文字列が見つかると危険と判断しているようです。ユーザーも困っているようで苦情書き込みも見つけました。半年前まで興味深く見守り何度か間接的に注意を投げましたがこんな状況です。
    楽天日記はログインしたままでユーザー間の日記を往復しているユーザーが多く、また奪ったアカウントは買い物や個人情報のアクセスにも使えるためセッションを奪え
    • by Anonymous Coward
      今年、就職活動していて気がつきましたが、
      毎日就職ナビにセッション乗っ取りの脆弱性があります。
      一応、指摘したんだけど。対策されないままです。
      説明会の予約、試験の予約を取り消せたり、
      個人情報を変更できちゃったり。

      他、ショッピングサイトによくある脆弱性も減らないねぇ。
      『https://hoghoge/product_list.cgi?cid=c001』

      こんな感じのURLでGET引数を偽装する事でSQL叩けるって現状
      query = "SELECT id, name FROM product WHERE category_id='" + cid + "'";
      こんな事やっているだけだから、
      • by Anonymous Coward
        そことはちがうどこか で同じようなコードをあげた者です。
        そのときは、入ってきた値の、たとえば「'」を「\'」に変換するというような事をやっていたのですが…
        設計者が「そんなことやらないでください」とか言って、削除してしまいました…
        「その値はリストボックスですから、チェックする必要はないですよね?」とかって言われて。
        いえ、危ないって証拠をつきつけても、「そんなことをや
        • by Y.. (7829) on 2003年06月25日 15時12分 (#345304) 日記
          やっぱり 全体的に認識が甘いのでしょうかねぇ
          そこら辺の処理は暗黙のうちに要件と仕様に含まれていて削っちゃいけない処理だと思うのです
          ちなみにPOSTでもGETでも削っちゃダメ
          ユーザーが意図的に誤動作を引き起こせることには変わりないから

          でも、まぁ 高速化したいけど サーバー増強に反対する気持ちはわからんでもないかな
          サーバー増強はいろいろと面倒だし
          親コメント
          • 元ACです。

            >そこら辺の処理は暗黙のうちに要件と仕様に含まれていて

            要件は提案専門のプランナーが定めてまして、仕様…というか構造設計というかは、その技術者が定めておりました。
            つまるは、「そういう仕様です」

吾輩はリファレンスである。名前はまだ無い -- perlの中の人

処理中...