「@nifty掲示板に重大なXSS脆弱性が発覚」記事へのコメント

なんだかなぁ、な話。

[Anonymous Coward]

@niftyのホームページサービスで使える、
メッセージボード [nifty.com]とnoteブック [nifty.com]（日記CGI）は、
使えるタグは制限されてたりして。

メッセージボード [nifty.com]は〈I〉〈B〉〈FONT〉。
noteブックは〈FONT〉〈B〉〈I〉〈A HREF...〉。
とこんだけ。実はスラドより厳しかったり。

・・・だってのに、大元の方でそれやってたんだねぇ。
なーにやってんだか・・・・・。

＃一@homepage利用者なAC。

Re:なんだかなぁ、な話。

[zumapon (9208)]

@nifty利用者ではないので確かめられませんが、
FONTやAにJavaScriptやスタイルシートが指定できたりしませんよね？

試してみて下さい・・・とは言いませんが（笑）。

Re:なんだかなぁ、な話。

[Anonymous Coward]

スラドの場合、
<a href="javascript:..." だとか、
<a onClick="..." はちゃんとカットされてます。

でも、<a href="http://" onClick="barfoo" とかやると、なんかリンクが変・・。　

実害は無さそうなのですが。

でもって、

[KENN (3839)]

メッセージボードのタグは、設定でOFF(＝使用不可)にも出来るんだよなぁ…古いサービスの方がきちんと考えられているというのもなんだかなぁ。

ま、この手の話は、サービス提供者(@nifty)ではなくて、ホントにプログラムを組んだ人／組織による、ってことなんでしょうけど。

Re:でもって、

[Anonymous Coward]

>古いサービスの方がきちんと考えられている

この業界でありがちな例ですね。
昔はちゃんとした人が設計や製造してたけど、ITバブルで人手が足りなくなって、まだまだ経験値が足りない奴を上流工程にねじ込んだ挙句…ってパターン。

#ホント、よく見聞きします。