tDiaryにクロスサイト・スクリプティングの脆弱性

情報処理推進機構セキュリティセンター（IPA/ISEC）とJPCERTコーディネーションセンター（JPCERT/CC）が、Rubyで書かれているツッコミ可能なWeb日記システム（ブログソフトウェア）「tDiary」にクロスサイトスクリプティングの脆弱性が見つかったと発表した。

対象となるのは、「tDiary 2.0.2およびそれ以前の安定版」「tDiary 2.1.4.20061115およびそれ以前の開発版」で、悪意ある第三者が特殊なURLや外部ウェブページを生成することで、ユーザのWebブラウザ上で任意のスクリプトを実行される可能性がある。

脆弱性があるのは日記管理者のみがアクセスできる設定画面上であるため、日記閲覧者には直接の危険はないももの、脆弱性をつくことによって作成された悪意ある日記が公開される可能性があるため間接的には日記閲覧者にも影響がありえる。

JVN#47223461 tDiary におけるクロスサイトスクリプティングの脆弱性

tDiary開発プロジェクトでは対策を施した以下のバージョンおよびパッチを公開している。

  1. tDiary 2.0.3 (安定版)
  2. tDiary 2.1.4に対するパッチ (開発版)

[917] Posted by kagahiro at 2006/11/27 17:24:49
オープン | 2 point | Link (2) | Trackback (2) | Comment (0)

キーワード

セキュリティ ブログ Ruby 脆弱性 

ジャパンのホームページ


tDiaryにクロスサイト・スクリプティングの脆弱性 関連リンク

情報セキュリティ
情報セキュリティとは、企業の資産である顧客情報や社員の個人データといった情報を守るための手段のことで...
[ブログソフト]tDiary
「tDiary」は、Rubyで実装されているツッコミ可能なWeb日記システム（ブログソフトウェア）。tDiaryの公式サイト tDiary.org

tDiaryにクロスサイト・スクリプティングの脆弱性 トラックバック

トラックバックURL :

Linked from 語句ログ : ブログ（blog） at 2006/11/27 17:28:59
ブログ（blog）とは、一般的に比較的短い記事が新しい順に時系列に並べられた形式で作成されたホームページ（Webサイト）のことで、もともとは、ウェブログ(Web上に残される記録という意味）と呼ばれていました。内容的には社会問題などを扱うジャーナリスティックなものから、個人的な日記やエッセイまで様々で、ブロガー（...
Linked from 語句ログ : Ruby 関連書籍 at 2006/11/27 17:34:00
オブジェクト指向スクリプト言語RubyRubyの基本的な機能から、オブジェクトの概念、プログラムの設計・プログラミング方法まで、実例を交えながら解説されている。プログラミングRuby―達人プログラマーガイドチュートリアル、Ruby1.6の概要、Rubyの構造、シンタックス、命令等を詳細に説明。 Rubyでアプリケーションを書く...

tDiaryにクロスサイト・スクリプティングの脆弱性へのコメント


詳細の入力フィールドを表示する

おすすめ  (チェックしてコメントすると最新情報に掲載)
コメント :

< 前の投稿      次の投稿 >

アクセスランキング

今日のアクセスランキング TOP 10

  1. Google Finance（グーグルファイナンス）- リアルタイム株価情報、金融ニュース、日本株 (3 PV)
  2. 裁量トレードを半自動化する無料のMT5向け裁量トレード支援ツール（EA）「PositionKeeper MT5」 #FX (3 PV)
  3. 安全性重視の完全無料ナンピンマーチンEA「Million Dollar（ミリオンダラー）」 #FX #ゴールド #ビットコイン (3 PV)
  4. SQLのSELECT文で先頭から上位（TOP）10件のレコードを取得する方法（SQL Server、Oracle、MySQL、PostgreSQL） (3 PV)
  5. [PR]ノーコードEA作成ツール「EAつくーる（GogoJungle）」 #MT4 #MT5 #自動売買 (2 PV)
  6. NoteでナンピンマーチンEA「Million Dollar MT5」を販売中 (2 PV)
  7. 完全無料のMT5用ナンピンEA「Nanpin K（ナンピンケイ） MT5」 (2 PV)
  8. 完全無料のMT4向けナンピンEA「Nanpin K（ナンピンケイ）」 (2 PV)
  9. 「xVideoServiceThief」無料の動画ダウンロードツール (2 PV)
  10. 免震装置のデータ改ざんが発覚したKYB株でインサイダー取引か #ネット炎上 (1 PV)

今月のアクセスランキング TOP 10

  1. SQLのSELECT文で先頭から上位（TOP）10件のレコードを取得する方法（SQL Server、Oracle、MySQL、PostgreSQL） (1874 PV)
  2. 安全性重視の完全無料ナンピンマーチンEA「Million Dollar（ミリオンダラー）」 #FX #ゴールド #ビットコイン (304 PV)
  3. Google Finance（グーグルファイナンス）- リアルタイム株価情報、金融ニュース、日本株 (261 PV)
  4. MT4向けオープンソースナンピンマーチンEA「Automaton」 (150 PV)
  5. 自作のMT4向け無料EA（口座縛り無し、ブローカー縛り無し、使用期限無し）とゴゴジャン出品中の有料EAの一覧 #MT4 (144 PV)
  6. 完全無料のMT5用ナンピンEA「Nanpin K（ナンピンケイ） MT5」 (142 PV)
  7. [FX]高値更新・安値更新でエントリー、MT4向け無料スキャルピングEA「1Scalper」#システムトレード (136 PV)
  8. MT4向け1ポジアノマリーEA「DAY TRADING」オープンソースライセンス（GPL3）で公開 #ドル円 (126 PV)
  9. 完全無料のMT4向けナンピンEA「Nanpin K（ナンピンケイ）」 (114 PV)
  10. SQLiteのSELECT文で上位 (TOP) n件のデータを取得する (110 PV)

アクセス統計

ディレクトリ

関連サイト