IPAテクニカルウォッチ 『DOM Based XSS』に関するレポート：IPA 独立行政法人 情報処理推進機構

IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、IPAに届け出られる「DOM Based XSS」の脆弱性に関する届出が2012年後半から増加していることを踏まえ、それらの情報を分析して当該脆弱性の概要や対策のポイントをまとめた技術レポート（IPAテクニカルウォッチ 第13回）を公開しました。 IPAに多くの届出があるクロスサイト・スクリプティング（XSS）の脆弱性ですが、2012年第1四半期から第3四半期の期間では合計38件だった「DOM Based XSS」と呼ばれるタイプのクロスサイト・スクリプティングの脆弱性の届出が、第4四半期だけで92件（第3四半期までの件数比約2.4倍増）と急増しました。 一般にクロスサイト・スクリプティングは、サーバ側のプログラムに作り込まれてしまう脆弱性ですが、「DOM Based XSS」と呼ばれるクロスサイト・スクリプティングの脆弱性は、

[MinazukiBakera]

2013年の「IPAテクニカルウォッチ『DOM Based XSS』に関するレポート」を見ると、対策方法の筆頭として挙げられているのは「DOM操作用のメソッドやプロパティを使用する」。まあ、それはそうですよね。

[arakash]

DOM Based XSS

[koemu]

DbXSS

[miya2000]

decodeURIComponent してる意味と文字がコピーできない意味が分からなかったです。

[nikutaiha]

javascripr,セキュリティ

[AKANE_Daigo]

情報処理推進機構：IPA テクニカルウォッチ：『DOM Based XSS』に関するレポート -

[tmatsuu]

素晴らしい。ざっと読んだ。CDNなライブラリ利用は思わぬ弊害が多いので個人的には薦めない。CDNの障害に引きずられるだろうしねぇ。

[deep_one]

クライアント側プラグインの脆弱性なのか？／Javascriptを多用しているならサーバー側のアプリ開発者が作り込む事もあるのか。まぁJavascriptは嫌いなのでほとんど使わないけど。

[sue445]

ウェブアプリ作ってる人は必読

[kuwalab]

帰ってから読もう。