BugTrack/1

プレビュー時に<や>をエスケープしない†

プレビュー時に<や>,&をエスケープしないため、編集内容が失われたり、CSS攻撃などを起こす可能性がある。
詳細はゆう:深刻なバグ報告に。

<a>タグのhref属性の属性値(URL)の中の&も&にエスケープするようお願いします。 -- reimy 2002-06-18 (火) 04:03:43
すみません、どこの部分のですか？ -- ゆう 2002-06-19 (水) 17:44:13
<a href="hogehoge?cmd=hoge&mogemoge">の&は文字参照の&を使うのが正しいです。&だと一部のブラウザで誤動作する可能性があることが明らかになってます。 -- reimy 2002-06-19 (水) 21:20:35

PukiWiki本体・Plug-inのほとんどすべてのファイルで修正が必要。 -- reimy 2002-06-19 (水) 21:24:01

http://www.reimy.com/bbs/read.php?key=1019830632&ls=20  テスト1
http://www.reimy.com/bbs/read.php?key=1019830632&amp;ls=20  テスト2

テスト１→テスト２のように修正 -- reimy 2002-06-19 (水) 21:36:27
配布されているβ版の中のファイルで該当する部分を修正したものを添付しておきます。 -- reimy 2002-06-19 (水) 22:01:17
- 本体　プラグイン -- reimy 2002-06-19 (水) 22:06:43
なお、ユーザーが書き込んだURLに対するエスケープ処理は修正していないので、お願いします。 -- reimy 2002-06-19 (水) 22:07:45
了解しました。いままずreimyさんの作ってくれたのを取り込み中です。 -- ゆう 2002-06-21 (金) 21:09:57
CVSに取り込んでアップしました＜reimyさん -- ゆう 2002-06-21 (金) 21:47:57
ユーザが書き込んだURLのエスケープ処理も行うようにしました。 -- ゆう 2002-06-22 (土) 18:31:51

重要!! 1.3.1b1で&が正しく&にエスケープされたことに伴い、従来の1.3時代に書き込まれた記事のごく一部、運の悪かったものについて、文字化けすることがあります。これは1.3.1b1のバグではなく、それまでのバージョンでのバグが修正されたことで起きるものです。

具体的には、偶然にも&で始まる文字列が、文字参照の文字列と運悪く一致していた場合、その文字が化けます。

旧バージョンでは&lang という部分は&lang のまま記録されていましたが、1.3.1b1でそれを読み込むと&langは⟨と同じとみなされ(SGMLの仕様)、文字参照に扱われてしまいます。

1.3.1b1では&langは正しく&langとして記録されるため、問題ありません。1.3で記録したものを1.3.1b1で読み込んで化けた場合でも、修正して記録すれば、もう化けることはありません。

れいみぃ:文字参照 ←1.3ではこのような表はバグのため書けなかったが、1.3.1b1では大丈夫です。
エンバグがおこっていてalias機能が使えなくなっていましたが、BugTrack/14で修正しました。 -- ゆう 2002-06-24 (月) 21:18:54

total:
today:
yesterday:
now: 1