本当にあったフロントエンドセキュリティ怖い話

「location.hrefが信用出来ない問題」 http://hoge.com%2F@example.com/へアクセスした場合にlocation.hrefがhttp://hoge.com/@example.com/を返す （勝手にデコードされている） location.href = location.hrefで別のページに飛ぶ iOS 6.0未満、Android4.1未満の標準ブラウザで再現 Masato Kinugawa Security Blog: location.hrefの盲点 「location.hrefが信用出来ない問題」 location.hrefに@使ってなにか入れるのは普通にできる （http://hoge:huga@example.com/のlocation.hrefはhttp://hoge:huga@example.com/） location.hrefを独自解析

[tmatsuu]

ひぃ。location.href知らなかった

[potato777]

Unicode怖い

[tak4hir0]

本当にあったフロントエンドセキュリティ怖い話

[criticabug]

改行は全然知らなかったから脆弱性無いか確認しないと

[t_f_m]

こわい話

[todesking]

便利情報まとめだ

[Naruhodius]

便利情報まとめだ

[katsuren]

怖い。

[asonas]

location.href