IEのMIMEタイプ取扱い方法の変更 - 技術ブログ読み日記IEBlogの「MIME-Handling Changes in Internet Explorer」を読みました。 IEのMIMEタイプ(Content-Type)の扱いについて、10月のアップデートで変わった点と、IE9で変わる点について解説されています。 ブラウザがLINK要素やSCRIPT要素を content-type を無視して読み込んでしまうと、CSRF脆弱性につながるそうです。 悪意のあるページのLINKタグがほかのサイトのHTMLを指していて、それをブラウザが読み込むとします。すると、それはそのページのスクリプトから読み取ることができます。 その「ほかのサイトのHTML」がユーザがログイン状態のページだったとしたらまずいことになります。Googleのトップページとかだったら私のGoogleアカウントがばれますし、Amazonなら本名や趣味までばれてしまう、という話なんだと
