[Fswiki-dev] Comment プラグインのセキュリティホール?

Back to archive index

あき attin****@kk*****
2007年 8月 20日 (月) 20:48:09 JST


あきです。

> 竹添です。
> 
> > 問題点は2つ。
> > 一つは、非ログインユーザが、参照権限すらないページに書き込みができて
> > しまう。(凍結されたページではなくてです)
> > もう一つは、commentプラグインが使用されていないページにまでコメントを
> > 追記できてしまう。
> 
> 参照権限がないのに投稿できてしまうのはまずいですね。
> これは、確かにチェックすべきだと思います。

理解して頂けて良かったです。
ホッとしました。

> > 単純に、(更新権限ではなく)参照権限があるかどうかのチェックと、
> > ページ内に「^{{comment.*}}」が存在するかどうかのチェックを入れるだけで
> > 解決する問題です。
> > Footerとかにも書かれることがあるというのでしたら、それくらいはチェック
> > を入れるのはわけないでしょう。
> 
> 個別のページにcommentプラグインを入れるのではなく、
> Footerだけにcommentプラグインを入れとけば全てのページに
> コメントがつけられるというのがtailオプションの目的です。
> この場合、各ページにはcommentプラグインは存在しないので
> チェックのしようがないのですが...

書き込み先のページと、MenuとHeaderとFooterもチェックすれば一通りはこと
が足りるのでは?
Footer以外に入れる人はまずいないとは思いますが…。
tailオプションのときだけ見に行くようにして、さらにFooterのページから
先に見に行くようにすれば、パフォーマンス的にもさほど問題にはならないで
しょう。




Fswiki-dev メーリングリストの案内
Back to archive index