Yahoo!知恵袋にXSS？ - yhgnの「自分に向けて書く」ブログ
2013-07-22 Yahoo!知恵袋にXSS？ <script>alert("xss");</script> これであなたもおしまいです。 - Yahoo!知恵袋 ryosuke_i_628さん「あなたが最近見たQ＆A」にXSS脆弱性があるみたいですね・・・ あー、そうみたいですね。history.jsで // タイムスタンプでソート items.sort(function(a, b) { return (a.timestump < b.timestump) ? 1 : -1; }); var html = ''; for(var i = 0; i < items.length; i++) { value = items[i]; var href = self.RD_URL + 'PAGE=' + page + '/LOC=' + loc + '/R=' + (i + 1) + '/*
<script>alert("xss");</script>これであなたもおしまいです。 - http://detail.chiebuku... - Yahoo!知恵袋
古いブラウザ、Javaのバージョンとはまったく関係ありません。 とりあえず、今日あったことを書いておきます。 今日の午前の段階では、右サイドバーに「あなたが最近見たQ＆A」が表示されていました。 現在は表示するためのコードが削除されており、表示されておりません。 この「最近見た〜」に表示される内容は、サーバー側で書いているのではなく、クライアント側、つまり、InternetExplorerやChrome、Firefox、Safariのローカルストレージという所に閲覧履歴が貯められており、それを表示するようになってました。 これをサーバー側でやりたくない理由があるのか、面倒くさかったのか、この方法でもちゃんとやれば問題ないと言えば問題ないので、その判断は各自に委ねますが、致命的に駄目だったのは、質問のタイトルの中にHTMLのタグが混じっていても対処していなかったため、質問のタイトルに悪意ある
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
