tDiaryにクロスサイト・スクリプティングの脆弱性

Mon, 27 Nov 2006 17:24:49 +0900

情報処理推進機構セキュリティセンター（IPA/ISEC）とJPCERTコーディネーションセンター（JPCERT/CC）が、Rubyで書かれているツッコミ可能なWeb日記システム（ブログソフトウェア）「tDiary」にクロスサイトスクリプティングの脆弱性が見つかったと発表した。

対象となるのは、「tDiary 2.0.2およびそれ以前の安定版」「tDiary 2.1.4.20061115およびそれ以前の開発版」で、悪意ある第三者が特殊なURLや外部ウェブページを生成することで、ユーザのWebブラウザ上で任意のスクリプトを実行される可能性がある。

脆弱性があるのは日記管理者のみがアクセスできる設定画面上であるため、日記閲覧者には直接の危険はないももの、脆弱性をつくことによって作成された悪意ある日記が公開される可能性があるため間接的には日記閲覧者にも影響がありえる。

JVN#47223461 tDiary におけるクロスサイトスクリプティングの脆弱性

tDiary開発プロジェクトでは対策を施した以下のバージョンおよびパッチを公開している。

tDiary 2.0.3 (安定版)
tDiary 2.1.4に対するパッチ (開発版)

Link(2) | Trackback(2) | Comment(0)

キーワード

セキュリティ ブログ Ruby 脆弱性

語句ログ - ニュース、プログラミング、システムトレードの用語解説 - 日本の注目ニュース、コンピュータープログラミング（C/C++,Perl,PHP,SQL）、システムトレード（FX,CFD,株価指数,先物）に関する語句（Word）を日本語や英語で解説

語句ログ - ニュース、プログラミング、システムトレードの用語解説

拡張機能が利用可能な Google Chrome 4.0 安定版

キーワード

tDiaryにクロスサイト・スクリプティングの脆弱性

キーワード