Sage++ (Higmmer's Edition) 1.3.8b リリース

■ 自作ソフト Posted by ひぐま (Higmmer) on 2006-10-11 at 23:21:15

◆共有テーマ: Firefox [コンピュータ]

本日、「Sage++ (Higmmer's Edition) 1.3.8b」を公開しました。現在、こちらのエントリからダウンロードできます。

今回の更新内容は以下の通りです。

  • CSS内の文字参照をちゃんとデコードしてからフィルタ処理するようにした(*)
  • CSS内の文字参照でも特殊文字のエスケープでもない"\"を"\5c "に変換するようにした
  • CSS内のタブや改行以外の制御文字を削除するようにした
  • CSSフィルタのデフォルト設定に一部不備があったのを修正
  • CSSフィルタのデフォルト遮断対象にcontentプロパティを追加した
(*) 1.3.8aでは単に"\"を"!"に置換することで逃げていました(但しstyle属性内のCSSコードについては以前からデコードされていました)。

……ふぅ。これでスタイルシート絡みの脆弱性対策としてはだいたい終わったかなという感じです。怒涛の更新ラッシュもとりあえず一段落といったところ。ただ、今回の修正を通じてスタイルシートについては色々と厄介な問題があることが分かりました。少なくともstyle要素についてはページ全体に影響を及ぼす記述が可能なこともあり、HTMLフィルタの許可対象には加えるべきではないと思います。

トラックバック

この記事について書く(FC2ブログユーザー)
※言及リンクの無いトラックバックは無効です

PageTop▲

コメント

PageTop▲

コメントの投稿

 
 
 
 
 
 (後で編集・削除したいなら必須)
 
  

PageTop▲