Yahoo広告配信用 s.yimg.jp ドメインでのXSSの解説

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

[oscdis765]

これYahooが酷すぎない？なんでなんども雑な修正繰り返してなんども外部の人に確認させてんの？社内でやれよ

[koyhoge]

正規表現1発でなんでもやろうとするのは分かりにくいバグを生むことになるなぁ。

[yamaz]

お疲れ様でした。メインドメインと各種外部スクリプト用のドメインを分けておくのはとても重要。iOSのサファリのせいでファーストパーティタグの回帰がおきてるけど、正直あれもかなりあぶないと思う。

[tailtame]

『✕ 危険な文字列を禁止する ◯ 想定される全てのケースで安全だと保証できるコードを書く』抜け穴こわい。WPでも思ったけど

[TsuSUZUKI]

cf. http://d.hatena.ne.jp/ripjyr/20170219/1487509929

[mas-higa]

URL を手軽にゴニョゴニョできる時代は終わってる。やらざるを得ぬ状況だからやってるんだろうけど。

[hasegawayosuke]

正規表現でURLパース→想定外のURLでXSSっていうのちょいちょいある。 http://gihyo.jp/dev/serial/01/javascript-security/0004 http://gihyo.jp/dev/serial/01/javascript-security/0005

[Jxck]

仕様がよくわからないけど、ブラウザの new URL() を使ったら解決？

[escape_artist]

お疲れ様でした

[Dai_Kamijo]

似たような問題なのでこれも公開します(アプリケーションレベルでの、URLのホスト名を切り出す正規表現の間違い) — mala (@bulkneets) February 7, 2017 from Twitter https://twitter.com/Dai_Kamijo February 07, 2017 at 03:48PM via IFTTT