JUGEM管理画面、セッションID漏洩の問題を修正 | 水無月ばけらのえび日記

公開: 2011年5月22日22時15分頃 こんなリリースが出ていますね……「【重要】管理者ページセキュリティの修正と強化に関しまして (info.jugem.jp)」。 この度、PHPSESSIDが付与された管理者ページURLから外部サイトにアクセスした場合、外部サイトのアクセス解析に残ったログから、お客様のブログ管理者ページに他の方がログイン出来た可能性が判明いたしました。 (～中略～) 【弊社で確認した発生する条件】 （１）ご利用のブラウザのプライバシー設定が規定値より高く設定されていた場合 （２）セキュリティソフト等でCookieがブロックされてしまった場合 【第三者がログイン出来た条件】 上記（１）（２）のいずれかの条件を満たしたお客様が、JUGEM管理者ページ内から外部サイトへ遷移した場合に、その外部サイトのアクセス解析等にお客様の管理者ページにログイン出来るURLが表示されて

[gayou]

phpのデフォルト設定はたしかそうだったなー。

[kaito834]

2011年5月、JUGEMの管理者ページで Referer を介してセッションIDが漏えいする問題が発覚。

[juner]

古い携帯見限ってCookie使えない携帯を使えないようにすれば基本問題無いだろと思った次第。 QT:JUGEM管理画面、セッションID漏洩の問題を修正