IE9以降でもHTMLフォームでファイル名とファイルの中身を外部から指定できる

昨日の日記「IE8以前はHTMLフォームでファイル名とファイルの中身を外部から指定できる」にて、福森大喜さんから教えていただいた内容として、ファイルアップロードのHTMLフォーム（enctype="multipart/form-data"）にて、アップロードするファイル名とファイルの中身を外部から指定できることを報告しました。この際にIE8以前という条件がありましたが、今度は、三井物産セキュアディレクションの望月岳さんから、「それIE9以降でもできるよ」と教えていただきました。既にご存じだったそうです。福森さん、望月さんという日本を代表するバグハンターから「秘伝のたれ」をおすそわけいただいたようで、興奮気味ですw まず、おさらいとして、IE8以前でのパターンは下記の通りでした（要点のみ）。 <form enctype="multipart/form-data" action="pro_ad

[ghostbass]

なんですと/エスケープをセキュリティの文脈で「しか」説明してないとひっかかるね

[ww_zero]

変数の値をWebブラウザに出力する場合は、その中身がなんであれHTMLエスケープされていて然るべきである、というだけの話では

[houyhnhm]

うええ。

[delphinus35]

すげー

[mumincacao]

ほんとにまだ変身残してるとかぱにゃい・・・ とはいえ使うときに場所に合わせたえすけーぷで変身関係なくさくっと退治できるしまだあわてるような状況ではないと思うのです（ーω【みかん

[efcl]

form等からファイル名を指定出来てしまう方法　; filename

[localdisk]

（アカン）

[coppieee]

秘伝のたれｗ

[kasumani]

IE9以降でもHTMLフォームでファイル名とファイルの中身を外部から指定できる 昨日の日記「IE8以前はHTMLフォームでファイル名とファイルの中身を外部から指定できる」にて、福森大喜さんから教えていただいた内容として、

[terurou]

ひええ

[ockeghem]

日記書いた