jQuery Migrate Plugin なんてなかった件 - ほむらちゃほむほむ
いくつかのサイトで実際に遭遇してますが，jQueyr 1.6.3 で解決( jQuery Bug #9521 )したはずの $("a[href=" + hash + "]") タイプの XSS が （ 2013/11/18 現在 1.2.1 を含む全ての） jQuery Migrate Plugin で復活します． jQuery 1.6.3 のみの場合 jQuery 1.10.2 と Migrate Plugin 1.2.1 の場合 色々追ってみて，やっぱりまだ動くけどと言ったら，8月にすでに，実際バグだけどこれで想定通りなんだと言われてた（He told me that this was not, in fact, a bug, but was working as intended.） のでそういうことだったみたいです． jQuery 本体側の変遷 jQuery の $() には複数の
クロスブラウザな css3 linear-gradient が面倒になりそうな件について - ほむらちゃほむほむ
2012 年の 4月に CR(勧告候補) になった，CSS Image Values and Replaced Content Module Level 3 とそこで規定されてる，Linear Gradients: the ‘linear-gradient()’ notation の幾つかのブラウザでの対応具合が面倒な事になってるなぁってお話． 経緯とか 最初期 もともと，グラデーションだーと提案された頃には，WebKit の独自実装としてこんな感じの書式だった．(cf. Introducing CSS Gradients) background: -webkit-gradient(linear, left top /* 始点 */, left bottom /* 終点 */, from(#000) /* 始点の色 */, to(#FFF) /* 終点の色 */); 途中にもっと色を挟むと
Disqus にいくつか DOM based XSS があった件 - ほむらちゃほむほむ
概略 サイトのコメント欄の外部委託系サービスの disqus.comにいくつか DOM based XSS がありまして修正されました．location.hash 部分の url encode が行われない IE, Chrome, Opera で問題があったことは確認しています． まず一つ目は，コメント欄の埋め込みスクリプトにありました． 脆弱性とその修正を確認しているのは，blogid.disqus.com/admin/universal/ にて表示されるコードを埋め込むタイプで，blogid.disqus.com/embed.js というスクリプトです． こちらのコードは，埋め込んだドメイン上で動作していましたので，このタイプのコードを埋め込んでいたドメインで提供されているサービスに影響があった可能性があります．disqus.com ではuniversal code とは別に，特定の幾
本当のログインフォームと向き合え(て）ますか - ほむらちゃほむほむ
どのページからでも，ログインフォームがオーバーレイで表示されてログイン出来る UI は本当に必要なのかという疑問． 専用ページの場合 そのページ（とフォームの送信先）を SSL にするだけですむ XSS の心配も限られた要素だけですむ そもそも JS 無しに出来てDOMXSS を気にしなくてすむ JS無し，CSS 無しの人でも使える どこでもログインの場合 フォームの送信先はもちろんのこと，ログインフォームを置くすべてのページで SSL 化すると面倒 ページ表示用のあらゆる要素もXSS の心配する必要 JS 使いまくりの場合DOMXSSの心配も必要 JS 無し，CSS 無しの人でも使えるようにするのが面倒 とデメリットのほうが先行してしまって，ログインのためのページ遷移の削減がそれほどメリットにならないなと． ところが，ユーザ側の視点からすると， そもそも別ページだろうとその場でだろうとフ
swfobject.js がアレな話 - ほむらちゃほむほむ
もばいる全盛感のある世間的には今更，FLASH なんてどうでもいいし，swfobject.js 自体 2009年から更新されてないから，こんな古いものをと言われかねないような話ではあるものの，日本語での言及をあまり見てないし，つい先日もさる通信キャリアがトップページでやらかしてて多分知られてないんだろうなと思ったので書こうと思った次第． swfobject.js とは何か この記事の対象読者にとっては説明するまでもない話とはおもうけど一応前置きとして説明しておくと，swfobject.js は FLASH を web ページに埋め込むための JavaScript のライブラリ．クロスブラウザ対応してたり，面倒な HTML-tag のお作法を覚えなくても良くなったりとでデファクトスタンダードな感じのモノ．2007年とちょい古いがリクルートMTL の SWFObject v2.0 ドキュメント
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
