拡張子に関わらずimgタグで画像を表示する†
- ページ: BugTrack
- 投稿者: umorigu
- 優先順位: 低
- 状態: 完了
- カテゴリー: 欲しいプラグイン
- 投稿日: 2018-04-05 (木) 00:06:08
- バージョン: 1.5.1
- リリース予定バージョン: 1.5.2
メッセージ†
refプラグインの場合、画像拡張子で終わるURLでなければ画像として表示しない。
URLが画像の拡張子でなくとも、画像を表示する手段が欲しい
- 過去に PHP getimagesize() 関数の脆弱性があったように、また、これまでに何度も Unix file コマンドの脆弱性が報告されているように、「第三者による任意のデータ」が安全かどうかをチェックできる手段を用意することは元々困難です。 -- henoheno
- 第三者が任意のデータをアップロードできる状況にある場合、攻撃者にとっては「ファイル名から予想できること」と「ファイルの中身等によって実際に行われること」を一致させる必要などないので、「ファイル名らしきもの」の「拡張らしき物」が安全なのかどうかは、表面的な、見かけの、無いよりはましという程度の制約です。 -- henoheno
- 最近はどうだか知りませんが、IEがMIMEを無視し、contentによって勝手にMIMEを決定する挙動については割愛します。 -- henoheno
- こうした要素は、指し示したファイルの置き場所が安全である事が担保される場合にかぎっては回避可能と思われます。 -- henoheno
- refについては以前ご紹介したように、リファクタリングしたつもりのソースコードがcvsリポジトリに眠っているので、それをチェックいただくのが良いでしょう。元のrefがとても複雑なので、テストは色々と申し訳ありません。 -- henoheno
- refプラグインの動作を変えるのは影響が大きいので、まずimgプラグインを画像表示に特化させて復活させようと考えていました。実装についてはrefプラグインの過去実装を参考にします -- umorigu
- 関連: BugTrack/460 -- umorigu
- 対応しました commit:ce74cd7aaf noimageオプションで画像表示しないようにもできます。画像表示可否はデフォルトで PKWK_DISABLE_INLINE_IMAGE_FROM_URI に連動させるようにしました。この値が1の場合、画像表示しません -- umorigu
![[PukiWiki]](image/pukiwiki-dev.png "[PukiWiki]")
