JavaScript:location.hrefの注意点 - URLのドメイン前にベーシック認証が埋め込める、そして脆弱性

JavaScript:location.hrefの注意点 - URLのドメイン前にベーシック認証が埋め込める、そして脆弱性 イントロダクション avaScript を使用して、ブラウザで現在表示しているページの URL を取得する場合には、location オブジェクトから取得するのが一般的です。 しかし、この location オブジェクトは注意して使わないと、意図しない情報を取得してしまったり、Webページにアクセスするための十分なURLを組み立てられなかったり、最悪脆弱性を作りこんでしまう恐れがあります。 その一つに、URLのドメインの前にベーシック認証の情報を埋め込めてしまうという点が挙げられます。 そして、これは最悪脆弱性につながる問題です。 （※ 脆弱性につながる問題は、2011年12月～2012年8月頃に一部のブラウザにて発覚した問題であり、アップデートの提供されている最新の

[t10471]

脆弱性のあるブラウザを使っているのが悪いじゃだめなのかな・・・2年以上も前の情報？

[bleu-bleut]

ベーシック認証のあるページでのlocation.hrefはユーザ名とPWを含んだものになる（そうなの？）一部のブラウザでユーザ名、PW部分に%2Fが含まれているとスラッシュにデコードして返すので脆弱性になる（そうなの？）

[alphabet_h]

avaScript

[efcl]

location.hrefがBasic認証情報の文字列も取れてしまうブラウザがある話

[drupa]

JavaScriptのlocation.hrefには注意点があります。 URLのドメイン前にベーシック認証が埋め込めることや、その脆弱性に注意が必要です。