Content-Disposition の filename という地雷。 (1個の観点で17個の脆弱性を見つけた話) - ぶるーたるごぶりん
English ver: https://gist.github.com/motoyasu-saburi/1b19ef18e96776fe90ba1b9f910fa714#file-lack_escape_content-disposition_filename-md TL;DR 1つのブラウザ、1つのプログラミング言語、15個の { Web Framework, HTTP Client ライブラリ, Email ライブラリ / Web Service 等} で脆弱性を見つけました。 見つけた脆弱性は、全て 1つの観点で発見した (多分 50-80 くらいのプロダクトの調査をした)。 RFC の記載では、（かなりわかりにくく）この問題に対する要件が記載されており、WHATWG > HTML Spec の方はしっかりと書かれているといった状況にある。 この問題は、 Content-Dispo
セキュリティ関連のHTTPヘッダを一括指定する Baseline ヘッダ - ASnoKaze blog
現在のWebでは、セキュリティ上レスポンスヘッダで色々なものを指定します。Webデベロッパーは個別に指定しなければなりません。 そこで、セキュリティ関連のヘッダを推奨デフォルト値に設定できるようにする「Baseline ヘッダ (Opt-into Better Defaults)」が、GoogleのMike West氏によって提案されています。 まだたたき台であり、これからW3CのWebAppSec WGで議論されている予定になっています。 Baseline ヘッダ 次のようにレスポンスヘッダを指定します。 Baseline: Security=2022これは、次のヘッダを送信するのと同様です。 Content-Security-Policy: script-src 'self'; object-src 'none'; base-uri 'none'; require-trusted-ty
Security headers quick reference | Articles | web.dev
This article lists the most important security headers you can use to protect your website. Use it to understand web-based security features, learn how to implement them on your website, and as a reference for when you need a reminder. Security headers recommended for websites that handle sensitive user data: Content Security Policy (CSP) Trusted Types Security headers recommended for all websites
The Open Source Web Editor You Will Love | Edtr.io
WYSIWYGEdtr.io is a WYSIWYG in-line web editor written in React. Content created with Edtr.io looks just like the final page - select any editable element on the page, edit it in-place or drag ’n’ drop it around. Heavily CustomizableIts plugin architecture makes Edtr.io lean AND adaptable to any use case at the same time. Open SourceEdtr.io is of course Open Source and has already been adopted by
Signed HTTP Exchanges (SXG)とはなにか/SXG Explained
Signed HTTP Exchange Study https://web-study.connpass.com/event/128480/ の発表資料です。
Web Components で 社内 UI ライブラリを作っている 話
WebComponents.kyoto Meetup #2 での発表資料です。 https://wc-kyoto.connpass.com/event/78690/
#RSGT2019 ちゃんとやってるのに なんかうまくいかないスクラム からの脱出
Regional Scrum Gathering Tokyo 2019
光を超えるためのフロントエンドアーキテクチャ - Speaker Deck
HTML5 Conference 11/25
あえてWebエンジニア以外の人に 聞いてほしいWebRTCの話
iOSDC Japan 2018 3日目の発表資料です。
Read Aloud: A Text-to-Speech Voice Reader
Read Aloud Browser Extensions Read aloud the content of any web page with one click. Chrome Firefox Edge Embed A TTS Widget Into Your Website readaloudwidget.com Voice Narration Tool Convert text to speech and create voice narrations. ttstool.com Support To send a support request, please use the contact form. Got an idea or suggestion? Please share it.
frontend-history
株式会社エフコード様でお話させていただいた内容です https://medium.com/@terrierscript/nostalgic-frontend-8a502220ce48
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ダイアリーとブログとXSS // Speaker Deck
日経電子版 プロダクトアウトからの脱却
技術基礎研修「クックパッドを支える仕組み」 / Introduction to the Internet - Speaker Deck
GitHub - sugiyamath/domextract: DOM based web content extractor for Japanese websites
WebReplayから見るWeb開発の未来 #builderscon
Next Currencyの管理画面 サーバサイドエンジニアのフロントエンド技術選択
HTML5アプリにおけるパフォーマンスの基礎知識
Android/iOS/フロントエンドを横断する開発体制 - Speaker Deck
web over layered apis
