開発日記/2004-11-21

CVS更新 -- henoheno †

colorプラグインにXSS脆弱性が存在していました。1.4rc3 - 1.4.4 までのユーザーには置き換えを強く推奨します。

公表方針を検討し、内容を整理し、影響範囲をチェックし、修正版とその提供方法を検討し、1.4(古いバージョン)で検証し、advisoryをまとめました。
- スタイルはFreeBSD Security Advisoryを参考にさせていただきました。

下から5行目辺りの"allowd"はallow"e"dじゃないかなと。…とりあえず報告まで。 -- Ratbeta 2004-11-22 (月) 20:05:10
colorプラグインでの#16進数3桁での指定ができなくなってませんか？ -- あれっ 2004-11-22 (月) 22:52:39
むむ、確認します＞両方とも -- henoheno 2004-11-22 (月) 23:01:23
ん？16進数3ケタ? それはvalidな書き方なんですか？ 6ケタ限定にした人=> -- henoheno 2004-11-22 (月) 23:01:43
少なくとも私には #fff という記述が R=f , G=f, B=f なのか R=ff, G=f, B=0? なのかあるいは(略)判別がつきません (^^; 知識が古いのかしら -- henoheno 2004-11-22 (月) 23:05:50
allowd の件、修正しました :) -- henoheno 2004-11-22 (月) 23:10:15
ふむふむ、3ケタについて確認中です -- やはり知識が古かったようですね (^^; 失礼しました (^^; -- henoheno 2004-11-22 (月) 23:13:01

これを   define('PLUGIN_COLOR_REGEX', '/^(#[0-9a-f]{6}|[a-z-]+)$/i');
こうする define('PLUGIN_COLOR_REGEX', '/^(#[0-9a-f]{3}|#[0-9a-f]{6}|[a-z-]+)$/i');

とりあえずこんなんでしょうか(厳格路線は維持の方向で) -- henoheno 2004-11-22 (月) 23:16:23
- cvs:plugin/color.inc.php (1.16-1.17)
Firefoxなどで見るに、fontタグでも3桁指定は問題ないようですね。これは知識が古いんじゃなくて私が現状を知らなかっただけだな (^^; 勉強になりました・・・ -- henoheno 2004-11-22 (月) 23:42:15

total:
today:
yesterday:
now: 1