にーやんのブログ :: Blosxom 2.1.1 以前にクロスサイトスクリプティングの脆弱性

Blosxom 2.1.1 以前にクロスサイトスクリプティングの脆弱性 JVN#03300113: Blosxom におけるクロスサイトスクリプティングの脆弱性 より。 Blosxom 2.1.1 およびそれ以前には、「クロスサイトスクリプティングの脆弱性が存在」するため、「ユーザのウェブブラウザ上で任意のスクリプトが実行される可能性があ」る、とのことです。 このブログでは blosxom starter kit を利用していますが、バージョンは 2.0 になり、上記の脆弱性があてはまるものと思われます。 SourceForge.net: Files から、この問題を修正したバージョン 2.1.2 が入手できますが、blosxom starter kit では config.cgi を使って設定を行っていたりするので、そのまま blosxom.cgi を差し替えればいいというわけには行きま

[tailtame]

なんと。

[kasaya]

なんかすごくリアルタイムにそんな情報。

[typester]

blosxomはこれ以外にもユーザーが書いてるテンプレート内にいっぱいXSSありそうだなｗ

[kits]

「おすすめの回避策は、blosxom.cgi の終わり近くにある『error head』テンプレートの『$flavour』をすべて削除することです」なるほどー →実施