Apple StoreのWebサイトに未解決のXSS脆弱性
米AppleがWWDCで数々の新製品を発表した同じ日に、Apple StoreのWebサイトにクロスサイトスクリプティング（XSS）の脆弱性が報告されたとの報道があった。 米Appleは6月10日の年次開発者会議、WWDCにおいて、iOSデバイス向けの新しいOS「iOS 7」や無料のストリーミング音楽サービス「iTunes Radio」、「MacBook Air」の新モデルなどを発表した。 一方同日、セキュリティ企業Kaspersky Labのニュースサービス「threatpost」は、Apple StoreのWebサイトに、クロスサイトスクリプティング（XSS）の脆弱性が報告されたと伝えている。 threatpostによると、脆弱性はドイツの研究者が発見し、セキュリティメーリングリストのFull Disclosureに投稿した。コンセプト実証コードも公開し、MicrosoftのInter
ウェブメール「SquirrelMail」に複数の脆弱性--最新版では解消
情報処理推進機構セキュリティセンター（IPA/ISEC）とJPCERTコーディネーションセンター（JPCERT/CC）は1月7日、SquirrelMail Projectが提供するウェブメール「SquirrelMail」に複数の脆弱性が確認されたと「Japan Vulnerability Notes（JVN）」で発表した。最新版へのアップデートにより、これらの脆弱性を解消できる。 1.4.0〜1.4.9aのバージョンに、クロスサイトスクリプティング（XSS）の脆弱性が存在する。悪用されると、ユーザーのウェブブラウザ上で任意のスクリプトを実行される可能性がある。 1.4.19以前のバージョンに、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在する。悪用されると、リモートの攻撃者によりユーザーの意図しないメールが送信されたり、設定を変更されたりする可能性がある。
【緊急】Twitter公式Webから今すぐログオフを。XSSの問題（9/21 20時JST）（追記：23時対応済み）：データイズム：オルタナティブ・ブログ
【緊急】Twitter公式Webから今すぐログオフを。XSSの問題（9/21 20時JST）（追記：23時対応済み） 9/23 追記 更に続報 Twitterにはまだ、XSSの脆弱性が残っている? 要注意 を書きました。合わせてご覧ください。 Twitterの公式Webクライアント （ http://twitter.com/ からのログイン ）に クロスサイトスクリプティング（XSS）の問題があるようで、本人が意図しないツイートやRTが多発しています。 悪意を持った攻撃を受ける危険性があるので、ひとまず、Twitterの公式Webからは急ぎログオフすることをお勧めします。今のところ他のログインの方式を使ったアプリからの利用は問題無い模様です。 問題を指摘するMasato Kinugawa氏によるツイート http://twitter.com/kinugawamasato/status/25
［さらに気になる］JSONの守り方
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） 次は、JSONにおけるセキュリティ対策 皆さんこんにちは、はせがわようすけです。第4回「［気になる］JSONPの守り方」はJSONPについて説明しましたので、今回は「JSON」についてもセキュリティ上注意すべき点について説明します。 JSONは、XMLHttpRequestで受け取り、JavaScript上でevalするという使い方が一般的です。 まずはサーバ側から送られる情報と、クライアント側での処理、それぞれの内容を見ておきましょう。 ［サーバ側］ HTTP/1.1 200 OK Content-Type: application/json; charset=
VALUE DOMAIN改竄&ゼロデイ | 水無月ばけらのえび日記
公開: 2009年7月8日16時45分頃 セキュリティホールmemo (www.st.ryukoku.ac.jp)より、VALUE DOMAINログインページ改竄 (lineage.paix.jp)だそうで。 ゼロデイですか。間の悪いことに、yaraiの試用期限がちょうど切れたばっかりで試せない……。いや、期限内だとしても、積極的に試すのは勇気がいりますが。 しかし、どういう経緯で改竄されたか知りたいと思う一方、VALUE DOMAINだったら何でもアリだよなぁという気もしてしまうのが何とも。 私がVALUE DOMAINを使い始めた頃はXSSだらけだったわけでして、少なくとも、 https://www.value-domain.com/regdom.phphttps://www.value-domain.com/signup.phphttps://www.value-domain.com
最終回 XSSの正体見たり 騙りタグ | gihyo.jp
＜前回のお話＞ XSSの正体は、タグに使用される特定の記号を本来とは異なる個所に用いることで、サーバの誤認識を誘発することと知ったわかばちゃん、“難しくない”というその対策とは!? そして気になる2人のカンケイは!? 読者100万人を巻き込んだ、衝撃と感動の一大スペクタクルがいまここに完結！
MovableType 4.25 のコメント投稿でJavaScript イベント属性（onclick等）を有効にする
Movable Type 4.25 のコメント欄の(X)HTML要素に onclick 属性や onleypress 属性を適用させる方法です。質問を頂きましたので本エントリーで回答します。 １．基本動作 コメント欄に次のような(X)HTMLを記述すると、 <a href="foo.html" onclick="foo()">foolink</a> onclick 属性はサニタイズされて、 <a href="foo.html">foolink</a> となります。これはコメントに書き込まれた onclick 属性によるXSS（クロスサイトスクリプティング）対策です。onclick のみだけでなく、JavaScript イベント属性（on～）は許容されていません。 なお、Movable Type 4.25 では、ブログ管理画面の「設定」→「コメント」で、「HTMLタグを制限」の項目に、Jav
Twitter XSS 騒動 - Yaks
(2009/04/12 6：40 pm 追記しました) (2009/04/12 7：24 pm 再度追記しました) 先ほどから Twitter上にて XSS のよる被害が出ています。 既に海外のブログなどでも取り上げられています。 HOWTO: Remove StalkDaily.com Auto-Tweets From Your Infected Twitter Profile (Twittercsm) Warning: Twitter Hit By StalkDaily Worm (TechCrunch) 既に XSS の部分は改修されて大分収まったようですが、念のために書いておきます。 内容としては、 1. StalkDaily.com を宣伝するつぶやきが勝手に投稿される 2. プロフィールの Web が改ざんされる 3. 改ざんされたユーザーのページを見ると、自分のプロフィールも
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Cross-Site Scripting Attack Hits Twitter | PCMag.com
てらまこ on Twitter: "「こんにちはこんにちは」とか、はまちちゃん以外がやっても悪乗りしている馬鹿にしか見えんからヤメロって書きたいけど敵は作りたくない＞＜ こわいよママン"
http://japan.internet.com/webtech/20090929/11.html