HTML::StripScriptsでXSS対策をする - Kentaro Kuribayashi's blog
先日公開した「はて☆すたアンケート」にて、アンケートの説明文をはてな記法で書けるよう、機能追加を行った。その際、Template::Plugin::Hatenaを用いた。これは、はてな記法パーサであるText::Hatena（正確には、そのヴァージョン0.16以下）を、Template::Toolkitのプラグインとして使えるようにしたものである。 はてな記法は、それ自体で全ての文書構造を表現できる、あるいは、はてなダイアリのシステム自体は、はてな記法のみしか許容しないというものではなく、たとえば画像を貼る際には、普通にimg要素を書く必要があるし、また、その他の要素についても、記法が用意されていないものについては、「はてなダイアリーのヘルプ - はてなダイアリー利用可能タグ」に掲載されているものに限り、自分でタグを書くことができる。これは自由度を高める反面で、XSSを誘発し得る潜在的なリ
■ - hoshikuzu | star_dust の書斎
■はてなダイアリー本体のXSS脆弱性 background 属性の XSS 脆弱性について::はてなダイアリー日記 あれ？いつからはてなダイアリーではHTMLの意味でのbackground属性が使えるようになったのでしょう。background属性でXSS脆弱性が発見されたようですけれど。 はてなダイアリーはHTML4.01を採用しています。background属性はbody要素でのみ有効なはず。はてなダイアリーでは当初、background属性など許可されていなかったはずです。だって、スタイルシートが使えるのが売りですしね。background属性など必要ないでしょう。悲しみながら調べてみます。 更新履歴-はてなダイアリー利用可能タグとは::はてなダイアリー 更新履歴-はてなダイアリー利用可能タグとは::はてなダイアリーから引用すると、どうも以下のようです。 ■更新履歴 (snip) 利
ゲストコメント時のIPアドレス通知機能、およびIPアドレスによるコメント拒否機能について - はてなダイアリー日記
さきほど、はてなダイアリーにおいて ゲストコメント時のIPアドレス通知機能 IPアドレスによるコメント拒否機能 を追加しました。 はてなダイアリーでは、日記へのコメントを ゲスト（誰でもコメント可能） ユーザー（ログイン中のユーザーのみ可能） なし からご選択頂けますが、「ゲスト」モードの際に嫌がらせなどが行われるケースが増加しております。 こうした状況に対応するため、ゲストがコメントを投稿した際には、コメント通知メール内にコメント者のIPアドレスを記載するよう変更するとともに、IPアドレスによるコメント拒否機能を追加しました。 コメント通知メールは、自分の日記にコメントが投稿された際にメールでお知らせする機能ですが、日記設定画面の「日記の設定」-「コメント・トラックバック設定」-「メール通知」から設定して頂けます。 また、特定のIPアドレスからのゲストコメントを拒否するには、「日記の設定
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
