[Fswiki-dev] Comment プラグインのセキュリティホール?

Back to archive index

Naoki Takezoe takez****@gmail*****
2007年 8月 20日 (月) 20:32:32 JST


竹添です。

> 問題点は2つ。
> 一つは、非ログインユーザが、参照権限すらないページに書き込みができて
> しまう。(凍結されたページではなくてです)
> もう一つは、commentプラグインが使用されていないページにまでコメントを
> 追記できてしまう。

参照権限がないのに投稿できてしまうのはまずいですね。
これは、確かにチェックすべきだと思います。

> 単純に、(更新権限ではなく)参照権限があるかどうかのチェックと、
> ページ内に「^{{comment.*}}」が存在するかどうかのチェックを入れるだけで
> 解決する問題です。
> Footerとかにも書かれることがあるというのでしたら、それくらいはチェック
> を入れるのはわけないでしょう。

個別のページにcommentプラグインを入れるのではなく、
Footerだけにcommentプラグインを入れとけば全てのページに
コメントがつけられるというのがtailオプションの目的です。
この場合、各ページにはcommentプラグインは存在しないので
チェックのしようがないのですが...

-- 
Naoki Takezoe <takez****@gmail*****>




Fswiki-dev メーリングリストの案内
Back to archive index