Masato Kinugawa Security Blog: TinyMCE 4.3.9で修正されたXSS

2月頃、リッチテキストエディタの TinyMCE のXSS脆弱性を報告しました。 特にセキュリティの修正をしたといったアナウンスはありませんが、数日前に公開された4.3.9でこの問題が修正されています。Twitterのプロフィールにも、「World's #1 most popular open source #WYSIWYG editor」 とあるくらい、世界的にも非常によく使われているリッチテキストエディタのようですので、更新を促すためにこの記事を書きます。 XSS脆弱性は 4.3.8 以下のバージョンにあります。 僕の知る限りでは、TinyMCEのPreview Plugin機能を使っていなければ影響を受けません。 この機能を呼び出さないようにするか、4.3.9以上に更新してください。 これ以下は、技術的な説明になります。この脆弱性の発生原因は、技術的にも少し面白いです。 発火する場所

[Dai_Kamijo]

TinyMCE 4.3.9で修正されたXSSについてブログを書きました！U+2028/2029が絡んだ問題です。 — Masato Kinugawa (@kinugawamasato) April 16, 2016 from Twitter https://twitter.com/Dai_Kamijo April 18, 2016 at 01:15PM via IFTTT

[Haaaa_N]

こえー

[berlysia]

ああ、これ怖いな

[efcl]

URL経由の正規表現に`.`にU+2028/2029がマッチしない問題のXSS IE/EdgeはURL経由でも入る