All about the "onMouseOver" incident
The short story: This morning at 2:54 am PDT Twitter was notified of a security exploit that surfaced about a half hour before that, and we immediately went to work on fixing it. By 7:00 am PDT, the primary issue was solved. And, by 9:15 am PDT, a more minor but related issue tied to hovercards was also fixed. The longer story: The security exploit that caused problems this morning Pacific time wa
Tender Surrender » JavaScript/Caja
â»ãã®ãã¼ã¸ã¯ã®CajaEasyIntro - google-caja - Google Codeã®ç¿»è¨³ã§ãã ãªãCajaã使ãå¿ è¦ãããã®ã? † ã¬ã¸ã§ããã¯ç¾å¨ããµã¼ãã¼ã«å¯¾ãã¦è¤æ°ã®ãªã¯ã¨ã¹ããå¿ è¦ã¨ããIFRAMEã«èªã¿è¾¼ã¾ããä»æ§ã«ãªã£ã¦ãã¾ããCajaã使ç¨ãããã¨ã§ã¬ã¸ã§ããã¯ãããèªã¿è¾¼ã¿é度ã®éãã¤ã³ã©ã¤ã³ã§ã®æä¾ãå¯è½ã¨ã
【レポート】Black Hat USA 2007 - WebセキュリティのSPI、Ajaxのリスクとスーパーワームを警告 (1) 必要がなければAjaxを採用しないのが最善 - SPI Dynamics | エンタープライズ | マイコミジャーナル
Black Hat Briefingsの常連である米アトランタのセキュリティ企業SPI Dynamicsは、今年6月にHewlett-Packard (HP)による買収が発表された。買収完了後はHPのテクノロジーソリューション・グループに統合されるという。HP傘下になれば、これまでのように派手に警鐘を鳴らすような活動は行わなくなりそうだ。だが、今年はこれまで通りAjax導入のリスクとHybrid Webワームという話題性の高い2つの講演を行った。 SPIのリードセキュリティ・リサーチャーのBilly Hoffman氏 容易ではない完璧なAjax導入 「Premature Ajax-ulation」は昨年のAjax Securityの続編と呼べるような内容だった。 Ajaxという技術そのものに深刻な脆弱性がある訳ではない。標準に従い、外部にさらされるプログラムロジックや入力検証の仕組みに留意
Security/CSP/Spec - MozillaWiki
The W3C has undertaken standardization of CSP and you can find the W3C spec here. Old Document Alert: The old Mozilla-specific spec document has been separated into two smaller documents, and those are deprecated in favor of the W3C spec. But in case you want them, here they are. Normative: Security/CSP/Specification Non-Normative: Security/CSP/Design Considerations
Category:OWASP AntiSamy Project - OWASP
This site is the archived OWASP Foundation Wiki and is no longer accepting Account Requests. To view the new OWASP Foundation website, please visit https://owasp.org OWASP AntiSamy is a library for HTML and CSS encoding. Introduction AntiSamy was originally authored by Arshan Dabirsiaghi (arshan.dabirsiaghi [at the] gmail.com) of Contrast Security with help from Jason Li (jason.li [at the] owasp.o
Googleパーソナライズド ホームページにクロスサイトスクリプティングの脆弱性
Google is vulnerable to cross site scripting. While surfing around the personalization section of Google I ran accross the RSS feed addition tool which is vulnerable to XSS. The employees at Google were aware of XSS as they protected against it as an error condition, however if you input a valid URL (like my RSS feed) it will return with a JavaScript function containing the URL. If you append the
GMailのコンタクトリスト漏洩とプライベートJSONP - snippets from shinichitomita’s journal
GMailのコンタクトリストが外部から呼び出し可能になってしまってた件について。 Google内プライベートなはずのデータが、関係のない外部のサイトからもスクリプト経由で読み込まれてしまうというもの。 http://ajaxian.com/archives/gmail-csrf-security-flaw でもこれってCSRFっていうのかな？なんか問題がちょっと違ってるような気もするけど。CSRFは情報が抜き取れるかどうかってとこは別に関係ないはずだし。外部サイトにプライベートデータを盗まれるという脅威としてはCSSXSSに近いような。（追記：どうもCSRFの定義ってのはもうちょっと広いみたい） この騒ぎに呼応して、クロスサイトのセキュリティモデルについてまとめてあった。 http://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/cross
Ajaxian ? Gmail CSRF Security Flaw
Enterprise Strategy Group: Go-to-market Expertise to Help You Win
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
I8jesus.com is for sale | HugeDomains
JavaScript セキュリティ: 用語集
When Google disowns you | Software as Services | ZDNet.com