Masato Kinugawa Security Blog: EasyXDM 2.4.20で修正されたXSS
Update: English version is here: http://mksben.l0.cm/2016/04/easyxdm-xss-docmode-inheritance.html ------------------ EasyXDM というクロスドメインでのあれこれを便利にしてくれるライブラリの 2.4.20 で、自分の報告したXSS脆弱性が修正されています。使っている人はアップデートしましょう。 Release Security update - 2.4.20 · oyvindkinsey/easyXDM · GitHub https://github.com/oyvindkinsey/easyXDM/releases/tag/2.4.20 以前にも脆弱性が指摘されていますが、それとは別の問題です。 http://blog.kotowicz.net/2013/09/exp
IEのdocument.URLUnencodedとは何者なのか
両者の違いを詳しく説明しているサイトが見つかりませんでしたので、自分でざっくり調べてみました。付け焼き刃なので、間違いが含まれている可能性はあります。 結論から言うとdocument.URLUnencodedはバグのまま放置されているのではないかと推測しました。 仕様 document.URL(以下、URL) URLの仕様はW3Cで定義されており、 URL of type DOMString, readonly The absolute URI [IETF RFC 2396] of the document. とあります。読み取り専用になっているのはこれを準拠しているからでしょう。 document.URLUnencoded(以下、URLUnencoded) URLUnencodedはIEの独自実装(他ブラウザでも一部対応していた気もしますが失念)ですが、質問にも記載されているMSDNの説
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
