Masato Kinugawa Security Blog

2月頃、リッチテキストエディタの  TinyMCE  のXSS脆弱性を報告しました。 特にセキュリティの修正をしたといったアナウンスはありませんが、数日前に公開された4.3.9でこの問題が修正されています。 Twitterのプロフィール にも、「World's #1 m...

ECMAScriptの仕様では、0x0A/0x0D以外にU+2028/2029の文字も改行とすることが明記されています。 これはあまり知られていないように思います。 以下はアラートを出します。   <script> //[U+2028]alert(1) ...