先日ご紹介した「HTTPリクエスト＆レスポンスヘッダを見る」ですが、スターダストさんと名乗る方から問題点を指摘されました。転載許可もいただけたのでそのメールの1部をここで公開します。
＝＝＝
なかなか便利なブックマークレットですね。さっそく登録させて
頂きました。
ところで、試用しているうちに、ある、
クロスサイトスクリプティング脆弱性が存在していることが
判明いたしました。
たとえば、
http://www.idefense.com/_vti_bin/shtml.exe/</title><script>alert('---')</script>
のようなURLを見た後、ブックマークレットを使うと
http://webtools.mozilla.org/web-sniffer/view.cgi?verbose=on&url=http%3A//www.idefense.com/_vti_bin/shtml.exe/</title><script>alert('---')</script>
というＵＲＬにアクセスしてしまい、WindowsIEなどでは、javascriptが起動して
しまうことがわかります。
これはブックマークレットの脆弱性ではなく、
http://webtools.mozilla.org/web-sniffer/view.cgi?
のクロスサイトスクリプティング脆弱性であるとわかりました。
＝＝＝
ということでこのbookmarkletを使用する場合はちょっと注意が必要となります。
また、http://webtools.mozilla.org/web-sniffer/view.cgi?の脆弱性についてmozilla.orgの誰かに連絡をしたいと思いますので、もしその方法をご存知の方がいればその方法を教えてください。
mozilla.orgではブラウザとかメーラとかのバグ情報は受け付けてくれそうなのですが、こうした過去のツールについては？？？です。
投稿者 bookmarklet : 2003年09月19日 17:05 | トラックバック