nyarla-net https://blog.hatena.ne.jp/nyarla-net/ カラクリスタ https://the.nyarla.jp/ 概要: coffeecup.js はデフォルトで HTML エスケープしない 自戒を込めてメモ。 僕は、最近、 俺の考えた最強の掲示板システム(てってれー) なるものをこそっと作ってたのですが、今日の今日まで、 そのシステムに XSS 脆弱性をモロに埋め込んでました。 具体的にどういうことかというと、僕の作ってる掲示板システムは、 Express.js 3 coffeecup.js その他色々 という感じの構成で作ってたのですが、テンプレートエンジンの coffeecup.js が、 デフォルトでは全自動 HTML エスケープをしない 、 ということに気がついていませんでした。 まあ今となって… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Fthe.nyarla.jp%2Fposts%2F2012%2F09%2F23%2F002312%2F" title="express.jsとcoffeecup.jsを使うときは、@の前にhを使え。さもなきゃXSSる - カラクリスタ" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> Hatena Blog https://hatena.blog 2012-09-23 00:23:12 rich https://the.nyarla.jp/posts/2012/09/23/002312/ 1.0 100%