Conversation

Notices

1. おさ (osapon@mstdn.nere9.help@mstdn.nere9.help)'s status on Monday, 22-Oct-2018 15:10:03 JST おさ

   • くり無

   notestockにXSSが有ったので修正しました。phpのstrip_tagsを使っているのにすり抜けていて、なんでだろって思って調べてみました。ActivityPubで届くデータはHTMLなんですがscriptタグは&lt; &gt;でエンティティ化されています。このときstrip_tagsはタグじゃないのでこれを無視します。そのあと、ハッシュタグリンクをnotestock向け検索アドレスに書き換える処理があり、そこでDOMDocumentを使っていて、こいつがエンティティ化された記号を< >記号に戻します。それをそのまま出力・・・こんにちは！！という流れでした。この問題は2018年9月13日から発生していました。報告していただいたくりむさん @klim0824 、ありがとうございます。

   • Maya Minatsuki :neko_smiley: and なちかアラート repeated this.
   • くり無 (klim0824@mstdn.jp)'s status on Monday, 22-Oct-2018 15:12:51 JST くり無

     in reply to

     @osapon GJ！！?

     なちかアラート repeated this.