Content-Disposition の filename という地雷。 (1個の観点で17個の脆弱性を見つけた話) - ぶるーたるごぶりん
English ver: https://gist.github.com/motoyasu-saburi/1b19ef18e96776fe90ba1b9f910fa714#file-lack_escape_content-disposition_filename-md TL;DR 1つのブラウザ、1つのプログラミング言語、15個の { Web Framework, HTTP Client ライブラリ, Email ライブラリ / Web Service 等} で脆弱性を見つけました。 見つけた脆弱性は、全て 1つの観点で発見した (多分 50-80 くらいのプロダクトの調査をした)。 RFC の記載では、（かなりわかりにくく）この問題に対する要件が記載されており、WHATWG > HTML Spec の方はしっかりと書かれているといった状況にある。 この問題は、 Content-Dispo
HTTP/3が5月末までにFirefoxでデフォルトで有効になる予定、Mozillaが明らかに。QUICの実装はRustによる独自実装の「Neqo」（たぶん「ネコ」）
Mozillaのブログ「Mozilla Hacks」に4月16日付けで投稿された記事「QUIC and HTTP/3 Support now in Firefox Nightly and Beta」によると、5月末までにFirefoxでHTTP/3が利用可能になることが明らかにされました。 FirefoxでのHTTP/3対応について、次のように説明されています。 Support for QUIC and HTTP/3 is now enabled by default in Firefox Nightly and Firefox Beta. We are planning to start rollout on the release in Firefox Stable Release 88. HTTP/3 will be available by default by the end o
XMLHttpRequest#responseURL について - xK.memo
今年の2月に WHATWG の XMLHttpRequest (XHR) の仕様に追加された responseURL プロパティが、先日 Firefox に実装された (https://bugzil.la/998076) のでそのことについて書く。 responseURL は XHR のリクエストに対するレスポンスの URL を文字列で返すプロパティで、リダイレクトが発生した場合は最終的なリダイレクト先の URL を返すようになっている。つまり Greasemonkey の GM_xmlhttpRequest にある finalUrl で取得できる情報と同じものを取得できるプロパティだと言える。 responseURL が XHR の仕様に追加される以前の状態でも、 xhr.responseType === "document" の場合に xhr.response.URL 経由で fina
Firefox 23 が Content Security Policy 1.0 仕様に対応
Firefox 23 （2013年 8月 6日正式リリース予定） が、クロスサイトスクリプティング （XSS） などの攻撃から Web ページを保護するための仕組み 「Content Security Policy 1.0」 仕様に対応しました。 Mozilla Hacks で、現在 Aurora チャンネルの、Firefox 23 が、Content Security Policy (CSP) 1.0 の仕様に対応した件、紹介されていました。 Content Security Policy (CSP) 1.0 は、あらかじめその Web ページで読み込まれることが想定されている JavaScript などのコンテンツを、ホワイトリストとして指定することによって、攻撃者によって挿入される悪意のあるスクリプトの読み込みを遮断し、クロスサイトスクリプティング （XSS） など、インジェクション
Web開発者が知っておくべきローカルプロキシーツール Fiddler - すがブロ
最近の愛用は Firefox を普段使っている時は、 HttpFox を使っています。 昔は Live HTTP Headers :: Add-ons for Firefox を使っていたのですが、けして見やすいというわけでは無かったのと、実際にボディの中身を見たいという時にパワー不足が否めません。 そこで、 HttpFox です。 HttpFox :: Add-ons for Firefox レスポンスコードを色分けしてくれたりするので、個人的には見やすいと思う。 たぶん、Firebug の接続タブでも同等のことができると思うのだけど、ウィンドウ領域の使い方とか、色分けの部分とかで HttpFox の方が好き。 こんな感じで閲覧できます。 リクエストパラメータ等も見やすく整形してくれるので助かります。 本題 本題は HttpFox ではなく、Fiddler についてです。 Fiddler
WEB開発者は必携かもしれないHTTPパラメータ解析用Firefoxアドオン「UrlParams」:phpspot開発日誌
WEB開発者は必携かもしれないHTTPパラメータ解析用Firefoxアドオン「UrlParams」 2009年08月17日- UrlParams :: Firefox Add-ons WEB開発者は必携かもしれないHTTPパラメータ解析用Firefoxアドオン「UrlParams」。 もうご存知の方も多いかもしれませんが、知らなかったのでご紹介。 Yahoo! などの検索エンジンにアクセスすると、「http://search.yahoo.co.jp/search?p=test&ei=UTF-8&fr=moz2」のように色々と引数がつきますが、これを分かりやすく解析してくれます。 さらに解析するだけでなく、独自パラメータを定義して送信するといったことも可能です。 上記GETによるアクセスで、以下のようにパラメータを分かりやすく表示してくれます。 POSTの場合は別のペインにパラメータが表示さ
【ハウツー】YSlowでWebページを高速化 - リッチさと速さを同時に実現するUIを! (1) YSlowでWebページパフォーマンス計測 | エンタープライズ | マイコミジャーナル
Webページの表示パフォーマンスの向上は、Webデベロッパやフロントエンドプログラマにとって永遠の課題だ。ページの表示が速いかどうかは、ユーザの満足度に大きく影響する。リッチなUIや機能を実現しつつも、ページの表示は軽くしたい。 そこで重要になってくるのが、ページの読み込み速度を測定して分析してくれるツールの存在だ。Webページパフォーマンス計測ツールを使うことで定量的に状況を把握し、改善策を練ることができるというわけだ。Webページパフォーマンス計測ツールはいくつかあるが、最も導入が簡単で、かつ効果の高いもののひとつがYahoo! Developer Networkを通じて提供されているYSlowだ。執筆現在での最新版は0.9.2となっている。 YSlowはFirebugを活用しつつJavaScriptで開発されたWebページパフォーマンス計測ツール。Yahoo! Exceptional
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
世界中の「Firefox」が一時的に使用不能になった問題について、Mozillaが詳細を明かす／ロードバランサ―の設定とHTTP/3接続に関する問題が引き金に