Hatena::ブログ(Diary)

はてなダイアリー日記 このページをアンテナに追加 RSSフィード

使い方に関するご質問は、お問い合わせもしくは人力検索はてなの「はてなの使い方」カテゴリーまで。
サービスへのご要望や不具合報告は、はてなアイデアへお寄せください。

2004/09/13

hatenadiary2004-09-13

はてなダイアリーの不正な自動操作についての脆弱性について

17:26

先ほど、特殊なURLや外部ウェブページを生成することで、はてなダイアリー日記編集などの操作を、第三者が日記作者本人に不正に行わせることができる脆弱性を修正しました。

MeeshelMeeshel 2004/09/13 21:05 提案が一つ。
はてなアンテナでは「フレーム使用のページ」の更新の検出が不可能なため、WWWCではないですが「チェックURL」と「オープンURL」の二つを設定できないものでしょうか。

ご一考いただければ幸いです

thediathedia 2004/09/13 21:17 アンテナの詳細設定画面を見ればわかりますが、更新チェックするURLとリンクをクリックして開くURLとは、違うURLに設定することが出来ます

MeeshelMeeshel 2004/09/13 22:09 あ、(番号) 〜 (タイトル) というのと 「リンクURL」というところで区別できるのですね。これは失礼致しました…ご回答有難うございます>thedia 様

z23z23 2004/09/15 01:16 rss モジュールですけど、< や > & を含む項目名が &lt; &gt; &amp; のように表示されてしまいます。

gb2gb2 2004/09/15 02:45 z23さんの指摘ですが、任意のコードを実行できないようにするためでしょう。日記で利用可能なHTMLタグはそのままにしておいてもらいたいとは思いますが、rssモジュールの主旨からは外れてしまうので仕方ないでしょう。
続いて、rssモジュールについて質問ですが、同一ページ内にAとBのrssを参照するコードを書いたとき、それらが参照されるタイミングは、Aが終わってからBなのか、Aが終わらないうちにBなのか、どちらでしょうか。よろしくお願いします。

z23z23 2004/09/18 01:00 エスケープもしかしたら用語が適切ではないかもしれませんが、私が言っているのは、rss モジュールのタイトル名ではなく、rss データの項目名のことです。わかりやすいよう、id:z23:20040919 に画像(私のダイアリーのサイドバー部分で使っている rss モジュールのスクリーンショット)を置きました。この部分はユーザーが編集できませんから、任意のコードを実行... の対策は不要だと思いますし、rss データ(XML)の段階で &lt; のようにエスケープされているので、もう一度エスケープする必要はないと思います。