Naoki Takezoe
ADS28****@nifty*****
2003年 7月 15日 (火) 11:34:26 JST
Fork竹添です。
> plugin処理部にXSS脆弱性があるようです。
>
> {{<script>alert(document.cookie)</script>}}
> と書くとcookieが表示されます。
>
> FSWikiの構造だと、サニタイズを各所でやらないといけなくてきついですよね。
これはエラーメッセージの出力部でエスケープしてないせいですね。
この件はWiki本体の修正で解決できます。
引数をサニタイズしなくてはいけないのは普通にCGIを書く場合でも
同じだと思うので、あまり気にしていません。
初心者にはこのほうが取りかかりやすいと思いますし、HTMLならでは
のプラグインも考えられますしね。将来的にプラグインからWiki形式
のテキストを返すようにしたり、APIを叩くような方法が可能になった
としても現在のHTMLベースでの実装方法も残そうと思っています。
ただ、各プラグインから出力されるHTMLの整合性などの面を考えると
問題だなと思いますね。
> こういうのとか、cookieのwiki_id認証の件とかは、bugtrackに(にも？)
> あげたほうが管理しやすいですか？
>
> ＃個人的には、動作してるサイトの数を考えると、
> ＃cookieの件はなにかしらのアナウンスはしたほうがいいように思うのですが…
そのほうがよいでしょうね。認証の件は暗号化したものをクッキーに
セットするようにしようと思ってます。
----
Naoki Takezoe <ADS28****@nifty*****>