html.php/edit_form()にXSS脆弱性

メッセージ

編集フォームの上にある'雛型とするページ'のコンボボックス内に表示されるオプション項目のページ名をエスケープしていないため、

"><script>alert("Hello");</script><"

のような名前のページを作ると、(そのサイトで)ページの新規作成や編集を行うたびにスクリプトが実行されてしまいます。

以下、対策パッチ

html.php/edit_form()

-$vals[$name] = "    <option value=\"$pg_org\">$name</option>";
+$s_name = htmlspecialchars($name);
+$s_org = htmlspecialchars($pg_org);
+$vals[$name] = "    <option value=\"$s_org\">$s_name</option>";

なお、CVS版ではinit.php v1.17以降でBracketNameに'<>'を含むことを禁止したため、この問題による影響はない…?



トップ   編集 凍結 差分 バックアップ 添付 複製 名前変更 リロード   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS
Last-modified: 2005-11-16 (水) 01:58:00
Site admin: PukiWiki Development Team

PukiWiki 1.5.3+ © 2001-2020 PukiWiki Development Team. Powered by PHP 5.6.40-0+deb8u12. HTML convert time: 0.117 sec.

OSDN