TERRY @terry_u16 湯婆婆「契約書だよ。そこに名前を書きな。働かせてやる。」 千尋> <script type="text/javascript">for(;;){alert("んほぉぉ！イッぐぅぅ！！");}</script> 湯婆婆「フン。んほぉぉ！イッぐぅぅ！！んほぉぉ！イッぐぅぅ！！んほ 2017-04-28 12:02:34
Janetter、ネタツイートのXSSが刺さり無限に「んほぉぉ！イッぐぅぅ！！」とダイアログが出る体にさせられる
TERRY @terry_u16 湯婆婆「契約書だよ。そこに名前を書きな。働かせてやる。」 千尋> <script type="text/javascript">for(;;){alert("んほぉぉ！イッぐぅぅ！！");}</script> 湯婆婆「フン。んほぉぉ！イッぐぅぅ！！んほぉぉ！イッぐぅぅ！！んほ 2017-04-28 12:02:34
CAPTCHAスクリプトに起因する脆弱性、数百万サイトに影響の恐れ
jQueryプラグインのCAPTCHAスクリプトにクロスサイトスクリプティング（XSS）の脆弱性が見つかったとして、セキュリティ研究者が情報を公開した。 Webサイトの検証機能実装に使われている「jQuery Validation Plugin」のCAPTCHAスクリプトに深刻な脆弱性が見つかったとして、セキュリティ研究者が自身のブログで11月18日に情報を公開した。同プラグインの作者はこの脆弱性を修正するパッチを19日に公開している。 セキュリティ研究者Sijmen Ruwhof氏のブログによると、脆弱性はjQuery Validation Pluginのバージョン1.13.0に存在する。2014年8月に発見して作者やjQueryにメールで連絡したが、返事がなかったため情報の公開に踏み切ったという。 この脆弱性はCAPTCHAデモンストレーションスクリプトに起因するといい、jQuery
TweetDeckにXSSの脆弱性、ワーム増殖の状態に
TwitterのTweetDeckサービスが一時的にダウンした。「悪意のあるツイートを作成して自己増殖する『ワーム』攻撃」の発生が伝えられている。 米TwitterのTweetDeckで米国時間の6月11日にセキュリティ問題が発生し、サービスが一時的にダウンした。セキュリティ企業などは、クロスサイトスクリプティング（XSS）の脆弱性を突くワームが増殖している状態だと伝えている。 TweetDeckの公式アカウントには同日、「TweetDeckで発生したセキュリティ問題が修正された」という告知が掲載され、修正を適用するためにTweetDeckからいったんログアウトして、ログインし直すよう呼びかけた。 しかしその後も問題の報告が相次いだことから、「セキュリティ問題について調査するためTweetDeckのサービスを一時的にダウンさせた」とツイート。数時間後に「セキュリティ問題の修正を確認し、Tw
Evernote XSS事件のエクスプロイトとその対策過程と顛末 | uuu
Evernoteに任意のHTMLを注入できる脆弱性がありました。 http://togetter.com/li/125281 Evernoteのセキュリティポリシーとかには触れず、とりあえず何が可能だったのか、どういう状況だったのかを書きます。 4/18 16時ごろ Evernoteの登録ページのHTMLに以下のような記述があります。 <script type="text/javascript"> $(document).ready(function() { suggestedTags = []; suggestedNotebook = ""; sourceUrl = ""; providerName = ""; payload = { "user" : { ... }, ..後略.. </script> このsourceUrl = ""の部分、https://www.evernote.c
[重要] セキュリティアップデート Movable Type 5.04 および 4.28の提供を開始 - ブログ | CMSプラットフォーム Movable Type ドキュメントサイト
Movable Type 4 および Movable Type 5 で確認された複数のセキュリティ問題の修正バージョンとして、 Movable Type 4.28 および Movable Type 5.04 の提供を開始いたします。Movable Type 4 および Movable Type 5 のすべてのバージョンの、修正版へのアップグレードを強く推奨します。 概要 Movable Type 5.031 および 4.27 を含む以前のバージョンでは、アプリケーション上の入力項目の一部において、適切に入力エスケープ処理されないため、クロスサイトスクリプティング（XSS）および SQLインジェクションが発生する可能性があります。 想定される影響 遠隔の第三者により、当該製品で管理している情報を閲覧されたり、変更されたりする可能性があります。また、遠隔の第三者が特定の操作をおこなうことで、ユ
![[重要] セキュリティアップデート Movable Type 5.04 および 4.28の提供を開始 - ブログ | CMSプラットフォーム Movable Type ドキュメントサイト](https://cdn-ak-scissors.b.st-hatena.com/image/square/9be8d8f64fcc8fcfb988b64efde35428b700b099/height=288;version=1;width=512/https%3A%2F%2Fwww.movabletype.jp%2Fcommon%2Fimages%2Fogp_default.png)
Twitterの“XSS騒動”はどのように広まったか
Twitterの大騒動から1日、このいたずらを仕掛けた犯人たちがどうやってユーザーをリダイレクトし、訳の分からないリツイートを大量にばらまいたのかが明らかになってきている。意外なのは、犯人のほとんどはコンピュータを乗っ取ったり、情報を盗もうとする犯罪者や攻撃者ではなく、セキュリティホールを利用して何ができるのか見てみようと好奇心に駆られたユーザーだったということだ。 各紙報道によると、TwitterのホームページのXSS（クロスサイトスクリプティング）脆弱性を最初に発見したのは、Masato Kinugawaと名乗る日本人開発者だった。彼はこれを利用して、虹の七色のツイートを作った。ノルウェーのRubyプログラマー、マグナス・ホルム氏も騒動に荷担した1人で、New York Timesによると、このXSS脆弱性を悪用する最初のワームの作成者という。同氏はKinugawa氏のコードを見て、自
Twitterの脆弱性突くコードが拡散 Webブラウザでのアクセス自粛呼び掛け
21日23:10追記 Twitter公式ブログが脆弱性の修正を報告（英文）。だが全Twitterサーバに修正が反映されるまで時間がかかる可能性もあるため、当分は要注意。 Twitterの脆弱性を使ったコードが急速に拡散し、意図しないツイートをしてしまうケースなどが多発している。当面の対策として、WebブラウザからTwitter公式ホーム画面にアクセスしないなどの対策をセキュリティーソフト会社やユーザー有志が呼び掛けている。 Kaspersky Labのブログによると、Twitterに存在するクロスサイトスクリプティング（XSS）の脆弱性が原因。ツイートにスクリプトを埋め込んだり、外部サイトからスクリプトを呼び出すなどしてユーザーに実行させることが可能になっている。ユーザーにツイートを連鎖させるコードも出回っており、急速に広がっているもようだ。 コードによっては、ログイン状態でWebブラウザ
Twitterで脆弱性突くワームが出現--作成者は17歳の少年 - セキュリティ - ZDNet Japan
Twitterの脆弱性を突く第2のワームが米国時間4月12日、このマイクロブログサイトで広がり始めたが、ニューヨーク市ブルックリン区に住む10代の若者が、自身のウェブサイトを宣伝するために両方のワームを作成したとCNET Newsに語った。 「Mikeyy」ワームは、4月11日に広まった「StalkDaily」ワームとよく似ており、ユーザーのページにメッセージを勝手に投稿する。Mikeyyワームは4月12日早朝にTwitterで広まり、「Mikeyy I am done...」「MikeyyMikeyy is done.」「Twitter please fix this, regards Mikeyy.」といったメッセージを投稿し始めた。 ブルックリンに住むMichael Mooney君（通称「Mikeyy」、17歳）はTwitterを活用するニュースサービスBNO Newsに、「退屈しの
Twitter XSS 騒動 - Yaks
(2009/04/12 6：40 pm 追記しました) (2009/04/12 7：24 pm 再度追記しました) 先ほどから Twitter上にて XSS のよる被害が出ています。 既に海外のブログなどでも取り上げられています。 HOWTO: Remove StalkDaily.com Auto-Tweets From Your Infected Twitter Profile (Twittercsm) Warning: Twitter Hit By StalkDaily Worm (TechCrunch) 既に XSS の部分は改修されて大分収まったようですが、念のために書いておきます。 内容としては、 1. StalkDaily.com を宣伝するつぶやきが勝手に投稿される 2. プロフィールの Web が改ざんされる 3. 改ざんされたユーザーのページを見ると、自分のプロフィールも
第2回 Webブラウザが乗っ取られ，犯罪者の支配下に
Web 2.0という言葉で総称される新たなインターネット時代。Webサイトやエンドユーザーに仕掛けられる攻撃もまた，2.0と呼ぶべき進化を遂げようとしている。攻撃者はWeb 2.0の中核技術であるJavaScriptを悪用してブラウザを狙う。第2回目となる今回は，今そこにある危機に迫る。 Zone-Hの場合，犯人は自己顕示を目的としていたため，被害はページ改ざん程度で済んだ。しかし，犯罪者の狙い次第で危険度はもっと高まる（図3）。 図3●XSSのぜい弱性を突くことで可能になる攻撃 キー入力の盗難や他サイトへの攻撃などユーザーが知らないうちに，背後での攻撃が可能になる。 [画像のクリックで拡大表示] 例えば銀行や証券会社のWebサイトにXSSの穴があれば，クッキーを盗まれ，不正送金などにつながるかもしれない。盗んだクッキーを使って業務で使用しているWebメールを盗み見られれば，開発や営業の資
第1回 悪意のJavaScriptで情報が漏えい：ITpro
Web 2.0という言葉で総称される新たなインターネット時代。Webサイトやエンドユーザーに仕掛けられる攻撃もまた，2.0と呼ぶべき進化を遂げようとしている。攻撃者はWeb 2.0の中核技術であるJavaScriptを悪用してブラウザを狙う。従来の脅威対策は全く通用しない。今この瞬間にも，エンドユーザーは個人情報を盗まれる危険にさらされている。 ブログ/SNSなどユーザー発信型のサイト，Ajax，RSS──。華やかさがクローズアップされるWeb 2.0。ところがその裏側では，エンドユーザーに情報盗難などの危険が広がっている（図1）。インターネット・バンキングやEC（電子商取引）サイトのユーザーIDやパスワード，クレジットカード番号はもちろん，企業内のシステムにアクセスするためのパスワードや，パソコンに読み込んだ機密文書データなど，対象はあらゆる情報だ。 2006年12月末，米国のセキュリテ
情報処理推進機構：重要なお知らせ：頁
１．概要 今般、次の2.a)のIPAセミナー受付フォームにおいて、クロスサイト・スクリプティング(注)のぜい弱性が発見されました。このぜい弱性を悪用された場合、当該フォームにて申し込みをしようとした方のブラウザ上で不正なスクリプトが実行されてしまう可能性がありました。当該脆弱性を確認した時には、当該セミナーは、募集定員（７０名）を超えるお申し込みとなっていました。募集を締め切らせていただくとともに、至急同受付フォームを点検し、再発防止策を講ずるため、１月３１日午前１１時に同受付フォームのページを閉じさせていただきました。 併せて、当該脆弱性が発見された受付フォームのプログラムを共有する他の受付フォームのページについても、点検のためページを閉じさせていただきました。点検の結果、その受付フォームにおいてもクロスサイト・スクリプティングの脆弱性が確認されましたので、改修した上、脆弱性検査を行
フィッシングに悪用されたPayPalのXSS脆弱性，2年間放置されていた可能性あり
英Netcraftは現地時間7月20日，同社が6月に警告した米PayPalのWebサイトの脆弱性（セキュリティ・ホール）は，2年間放置されていた可能性があることを明らかにした（関連記事：フィッシング詐欺に新手法）。PayPalでは同社サイトに見つかったクロスサイト・スクリプティング（XSS）の脆弱性を6月に修正したが，この脆弱性自体は2年前に第三者によって報告されていたという。 PayPalのWebサイトに見つかったようなXSS脆弱性を悪用すれば，攻撃者は細工を施したリンク（URL）をユーザーにクリックさせることで，任意のスクリプトやHTMLをユーザーのブラウザに送り込める。これにより，本物のWebサイトから偽サイトへユーザーを誘導することが可能となる。つまり，フィッシング詐欺に悪用できる。 このXSS脆弱性を突くフィッシング目的の偽メールが出回ったことで，Netcraftは脆弱性の存在を
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【sorry-city-library】昨夜公開された海老名市立図書館のサイトがXSS等の不備により大喜利会場と化す。現在はSORRY中→復旧？！
ブログ
警告：Twitter.comを当分訪問しないこと―ツイートにマウスオーバーしただけでJavascriptが実行されてしまう脆弱性あり〔すでに修正ずみ〕
Sophos News
http://japan.internet.com/webtech/20090821/11.html