tDiary

森脇です。

TADA Tadashi wrote:
> tDiary本体にクロスサイト・スクリプティング(XSS)の脆弱性が発見されました。
> 対応版のリリースや、対策について以下で公開しましたので、ご確認のうえ、
> 対応願いします。

Debianユーザから指摘を受けたのですが、core/skel/i.conf.rhtmlにも
  <%%=conf_proc( "#{@cgi.params['conf'][0]}" )%>
が残っているのですが [1]、こちらも直したほうがよいのですよね。

Footnote:
[1]
http://tdiary.cvs.sourceforge.net/tdiary/core/skel/i.conf.rhtml?revision=1.9&view=markup

では。

-- 
Daigo Moriwaki
beatles at sgtpepper dot net

ただただしです。

06/11/28 に Daigo Moriwaki<techml@...> さんは書きました:
> Debianユーザから指摘を受けたのですが、core/skel/i.conf.rhtmlにも
>  <%%=conf_proc( "#{@cgi.params['conf'][0]}" )%>
> が残っているのですが [1]、こちらも直したほうがよいのですよね。

たしかに見落としですね。ただ、モバイルモードが対象にしているブラ
ウザはJavaScript未対応なはずなので、影響はないと考えます。本
体としては次のアップデートの機会に入れようと思います。

-- 
ただただし <http://sho.spc.gr.jp/>
♪ツッコミは、短く鋭く愛を込めて。

西山和広です。

>>> Tue, 28 Nov 2006 23:36:31 +0900 の刻に
>>> sho@... Tadashi") 氏曰く
> 
> 06/11/28 に Daigo Moriwaki<techml@...> さんは書きました:
> > Debianユーザから指摘を受けたのですが、core/skel/i.conf.rhtmlにも
> >  <%%=conf_proc( "#{@cgi.params['conf'][0]}" )%>
> > が残っているのですが [1]、こちらも直したほうがよいのですよね。

2.0.4でも残っているように見えます。


> たしかに見落としですね。ただ、モバイルモードが対象にしているブラ
> ウザはJavaScript未対応なはずなので、影響はないと考えます。本
> 体としては次のアップデートの機会に入れようと思います。

WILLCOMがmobile_agent?の条件に入っていて、少なくともWX310SAは
User-AgentにWILLCOMが入っている状態でもJavaScriptに対応しています。


-- 
|ZnZ(ゼット エヌ ゼット)
|西山和広(Kazuhiro NISHIYAMA)

ただただしです。

06/12/11 に Kazuhiro NISHIYAMA<zn@...> さんは書きました:
> > >  <%%=conf_proc( "#{@cgi.params['conf'][0]}" )%>
> > > が残っているのですが [1]、こちらも直したほうがよいのですよね。
>
> 2.0.4でも残っているように見えます。

ああぁ。すみません、見落としです orz

もっとも、この部分は脆弱性にはつながらないと思います。
もし、これを使ってtDiaryを攻撃する方法を発見された方は、
このMLなど公の場ではなく、私個人宛てに教えてください。

-- 
ただただし <http://sho.spc.gr.jp/>
♪ツッコミは、短く鋭く愛を込めて。