はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知

はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28

[rryu]

$()の仕様の罠にはいつか誰かが引っかかると思っていたが、$("#<tag>")も要素生成とみなされるというのはさすがに罠過ぎる。

[amachang]

jQuery の XSS 興しやすい問題／ああ、たしかに。複数の文法を取る可能性がある引数へのエスケープってめちゃくちゃ大変だ…。そのエスケープ方法自体が jQuery に依存することになるし、保守も大変。やっかいな問題だなあ

[hasegawayosuke]

あとで // https://gist.github.com/1044967 こんなんでいいのかな…。// https://twitter.com/#!/bulkneets/status/84444587728449536 ああそりゃそうか。

[taqpan]

『ユーザー入力値をバリデーションせずに $()関数に渡している』　←jQuery云々以前に、これを是とする感覚がプログラマとしてアウトじゃね。

[cyokodog]

使い方の問題。気楽に入力値を$関数に渡すのはちょっと・・

[kmachu]

$()関数が検索とDOM生成の両方の役割を持っているとこが、問題の発見を難しくしている。DOM生成は$.html()にする案がいいなぁ。

[efcl]

jQueryの$()セレクタが、任意の要素を生成できてXSSを誘発しやすい。 $(location.hash)のような Sinks をセレクタに指定した場合などの危険性。 http://dominator.googlecode.com/files/DOMXss_Identification_and_exploitation.pdf

[y-kawaz]

まぁ、普通そういう使い方しないわな。外部入力から何かしらの構文を文字列で自分で構築するっていう発想自体が危険。

[sanata0130]

XSS対策的な

[masterq]

Webが存在する以上、勉強しなくては。。。悔しいけど

[cnomiya]

修正方法::$() 関数に渡す文字列が /\s*</ で始まらない限り("<"で始まるか、空文字列の後に"<"で無い限り)タグ生成にならないようにする｜影響は要調査

[rna]

jQueryの$()関数が万能すぎて気が付かないうちにXSSを引き起こす使い方になっていることが多い、という話。

[wata88]

$("#<tag>")でも要素生成になってしまうんか・・・ユーザー入力をそのまま使うのが悪いんだけども。

[ji_ku]

Bylineから jQueryにおけるXSSを引き起こしやすい問題について jQueryのマイナーバージョンアップがリリースされて取り敢えずバージョンアップしましょう、みたいになる状況を想定してたんだけど1ヶ月以上経ってしまったので

[juner]

勉強になる。QT:jQueryにおけるXSSを引き起こしやすい問題について - 金利0無利息キャッシング – キャッシングできます - subtech

[Layzie]

みんな書いてるけど、ユーザー入力値をまんま、$()関数はちょっとなあ…と。まあ危険性はjQueryが持ってるものではあるんだろうけど。

[kitoku_magic]

今、大人気のjQueryにこんな厄介な問題があるとは・・・かなりビックリしました。個人的には関係ないのが幸い。

[hidehish]

見てる:

[packirara]

やってないと思うけど気をつけよう…

[totttte]

これって結構多そうな気がする。　＞ユーザー入力値をバリデーションせずに $()関数に渡している

[uzimith]

はへー。

[kogawam]

（後で調べる）

[hiro_y]

ユーザー入力値をvalidationせずに$()関数に渡すの危険

[NAT]

$()関数がタグ生成にも使えるとは知らなかった・・・。ユーザーの入力値を一部でも渡す時は、気をつけないと。

[da-yoshi]

基本は$()に限らず入力値をそのまま使わないことだとは思うけど、jQueryの幅広い使われ方を考えると、将来は$()からエレメント生成機能を外して、代わりにcreateElement系の短縮関数を用意する等の対策が必要かも

[hiroakisuzuki05410]

あとで読むぞ！

[istb16]

気をつけないといけないですねぇ

[yamadar]

絶対に読む

[inulab]

メモ

[isidai]

jQueryにおけるXSSを引き起こしやすい問題について - 金利0無利息キャッシング – キャッシングできます - subtech:

[InoHiro]

DOMReadyってなんだ, location.hash, $()関数がHTMLを生成するため

[s-tomo]

$.find(expr)を使えばいいんだっけ？

[damedom]

あぶねーなあもう

[itoyu_110]

あとで読む

[ghostbass]

でも$()便利だよね。だからこれだけ広まった。/みんなYUIにしようよ！