セキュアな WordPress プラグインの作り方 - WordBeach Nagoya 中級セッション
WORDPRESS 2011 8 27 (8 31 ) WordBeach Nagoya WordBench • WordPress • Ktai Style • Ktai Entry • 18 Mac • • 18 • http://www.yuriko.net/ • @lilyfanjp • • PHP • WordPress • • ( ) • WordPress • • function the_content($more_link_text=null,$stripteaser=0, $more_file='') { $content = get_the_content($more_link_text, $stripteaser, $more_file); $content = apply_filters('the_content', $content); $content = s
Yuriko.Net » mb_convert_kana の a オプションで XSS 脆弱性
先日修正した、Ktai Style および Mobile Eye+ パッチの脆弱性ですが、詳細を公開しておきます。リリース時に公開した情報としては、Ktai Style では「classic テーマに存在したセキュリティーホールを修正」であり、Mobile Eye+ パッチでは「全角→半角変換に伴なうセキュリティーホールを修正」となっていましたが、具体的には「コメントやトラックバックの表示に関して XSS 脆弱性があった」のです。 これは、全角→半角変換で、mb_convert_kana() 関数を a オプション付きで使っていたのが原因でした。このため、(いわゆる) 全角の英数字のみならず、記号類も半角に変換されていました。つまり、＜, ＞ というかっこが <, > になってしまったのです。これだと、コメントに以下のようなコードを書かれてしまうと、半角変換によって、JavaScript
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
