XSS脆弱性について5

08:39

先日より続けてまいりましたXSS脆弱性についての対策ですが、本日、日記文中、及びヘッダ、フッタでご利用いただけるHTMLタグを限定する措置を行いました。これまで入力頂いておりました一部のタグは表示されませんが、安全性の確認できる範囲で随時利用可能タグを増やしていきたいと思いますのでお問い合わせください。

また、独自整形ルールの導入も視野に入れておりましたが、ユーザーの皆様にこの日記にしかお使いいただけないルールを覚えて頂くよりは、どこでもつかえるHTMLタグのルールを覚えて頂く方が有益であると考えました。

日記文中、ヘッダ、フッタでご利用可能なタグははてなダイアリー利用可能タグにまとめたいと思います。

ツイートする

はてなダイアリー利用可能タグ

08:39

固有名詞なのか、どうなのか、という疑問がありますが、これ以上に管理・公開が便利な場所もなくキーワードにしております。

ツイートする

使えなくなるタグ

08:39

具体的に一番使えなくなっているケースが多いと思われるのが、<div>,<span> 内などでの style 属性かと思います。これまで style="..." というご指定をされていた方、大変ご迷惑をおかけします。

この場合は、設定画面の「スタイルシート」欄で div.hoge (hogeは適当な名称）を定義して頂き、<div class="hoge">文字列</div> として頂ければと思います。

ツイートする

XSS脆弱性について6

08:39

HTMLタグに続きまして、さきほど、スタイルシート内の対処を行いました。スタイルシート設定において、@importを用いて外部ファイルを取り込むことはできません。また、背景画像などで外部のファイルを参照する場合に、不適切なURLは（HTMLタグのhrefやsrcと同様に）入力できないように変更を行いました。

結果的に、ユーザーの皆様で設定いただきましたスタイルシート（HTMLタグもそうですが）を順番に解析することとなりましたので、あまり長い設定をスタイルシート欄に入力いただきますと、表示が少し遅くなるかもしれません。

そういう時は、ぜひともtDiaryのテーマとしてテーマファイルを作成いただき、開発にご協力ください。

ツイートする

スタイルシート亜種

08:39

みなさん色々とテーマを設定いただいているようですが、何処かでご指摘いただいておりました（だんだん分からなくなってきました）hatenaテーマのヘッダの色に合わせたバリエーションについては、こちらで近いうちに作成したいと思います。

ツイートする

スタイルシートの解析について

08:39

スタイルシートの解析に不備があり一部のページが表示できなかったようです。大変申し訳ありませんでした。さきほどから、設定画面で指定頂いているスタイルシートの扱いについて、何度か変更を行っておりますので、その都度見え方などが変化しているかと思います。すみません。今日はこの辺で落ち着きそうです。

ツイートする