「IEのXSSバグで任意サイトのCookieが漏洩」記事へのコメント

いきなりオフトピック失礼

[oku (4610)]

やっぱり HTML 投稿で「＜」(\x3c) をきちんと使えた方がありがたいですよねぇ...。

# 今回のタレコミ者は「ｈttp」と書いている辺りから
# 察するにわざとやってるんでしょうけれど。

Re:いきなりオフトピック失礼

[Anonymous Coward]

このままでもいいのでは？
この手のタグってコピペで使えるよりは使えない方がいいと思いますけど

JScriptの「 showModalDialog() 」メソッドにあり
"http://example.com/flash.swf?"＜script>　～　＜/script>

強調する方が効果的では？

#引用でグレーの色指定できるといいのだが、
#＜s>～＜/s> または ＜strike>～＜strike> が使えるとなおよろし

Re:いきなりオフトピック失礼

[jbeef (1278)]

この手のタグってコピペで使えるよりは使えない方がいいと思いますけど

危険なタグが使えなくしてあるのはセキュリティ上必要なことです。そういう話ではなく、「＜」という文字を書くために正しく「＆lt;」と記入しても、ここのslashcodeではうまく投稿できない件のことでしょう。

これは、プレビュー画面で「＆」のescapeが正しく行われていないために起こるようです （クロスサイトスクリプティングは起きないようになっているものの）。 TEXTAREA内に「＆lt;」と記入して「プレビュー」ボタンを押すと、次の画面のTEXTAREA内では「＜」に置き換わってしまうのを見ることができます（本来はソース上で「＆amp;lt;」に変換されて、画面の入力欄には「＆lt;」と現れないといけない）。加えて、コメントの表示部分では（フィルタリングの前に不必要なunescapeが行われている？のか） 「＆amp;lt;」と記入しても「＆lt;」が消えてしまいます。 なんだかぐちゃぐちゃになっていて安全を保ちつつ直すのが困難なのかもしれません。

Re:いきなりオフトピック失礼

[oku (4610)]

そういう話ではなく、「＜」という文字を書くために正しく「＆lt;」と記入しても、ここのslashcodeではうまく投稿できない件のことでしょう。

仰せの通りです。 今回のタレコミについては、おそらく copy + paste でそのまま通用しないようにという配慮ではないかな、と思ったのであのような文章にしました。

傍から見る分には slashcode(-J?) の消毒部分のコードがやたら恐ろしいことになっているのではないかと思える (これまで方々で言われていてなお改善できないという傍証からして) ので、あまり強く編集者諸氏にお願いする気はありませんが。