[警告] Sage 1.4にもスクリプトインジェクション脆弱性があります (ひぐまのひまグ) - 葉っぱ日記

Sage 1.4 nightly (2006/10/11版)において、スクリプトを含む細工されたフィードを読ませると、 Firefoxのオプション設定やNoScript拡張などでJavascriptを禁止にしても防ぐことはできませんでした。Sageのオプションで「HTMLタグを許可する」をオフにした場合は発生しませんが、その場合は何故か他のフィードも含めて全く表示されなくなってしまいました(読み込み中のまま動かない)。結局、まともに使うためには「コンテンツエリアにフィードを読み込む」をオフにするしかないようです。 という状況が発生するとのこと。 RSS へのスクリプトの挿入は、HTML以上に記述の自由度が高いことや、フィード内の文字列の扱いが複雑なことから、まだまだ完全に除去するのは難しいみたいですね。おそらく Sage 以外の RSS リーダでも似たような状況なのでしょう。いちおう、スク