CMS四天王のバリデーション状況を調査したところ意外な結果になった
バリデーションでSQLインジェクション攻撃をブロックしないCMSが多い ログインIDにおける典型的なSQLインジェクション攻撃として、'OR 1=1# をバリデーションがブロックするかどうかを確認しました。ログインIDとして許容される文字を見る限り、WordPress、Joomla、Drupalはブロックしそうですが、結果は下記の通りです。 WordPress: ブロックしない Joomla: ブロックする Drupal: ブロックしない MovableType: ブロックしない ということで、意外なことに、バリデーションでSQLインジェクション攻撃を止めるのはJoomlaのみという結果でした。 ログインIDにヌルバイトや改行が使えるCMSがある テストをしていてもっともびっくりしたことの一つがこれです。JoomlaとMovableTypeはヌルバイトや改行など制御文字がログインIDとして
CMS「XOOPS Cube Legacy」にクロスサイトスクリプティングの脆弱性
独立行政法人 情報処理推進機構セキュリティセンター（IPA/ISEC）および有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）は4月2日、XOOPS Cube Projectが提供する「XOOPS Cube Legacy」にクロスサイトスクリプティング（XSS）の脆弱性が存在すると公表した。 XOOPS Cube Legacyは、オープンソースのコンテンツ管理システム（CMS）。今回確認された脆弱性は、XOOPS Cube Legacy 2.1.6 およびそれ以前のバージョンに存在する。この脆弱性が悪用されると、悪意ある利用者が細工したページをユーザーが読み込んだ場合、ユーザーのブラウザ上で任意のスクリプトを実行される可能性がある。 XOOPS Cube Projectでは、この脆弱性を解消する新バージョンやパッチを公開しており、最新版へバージョンアップするよう呼
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
