水無月ばけらのえび日記

Feed2JS におけるクロスサイトスクリプティングの脆弱性

7月に届け出た奴ですが……。

• JVN#33218020 Feed2JS におけるクロスサイトスクリプティングの脆弱性 (jvn.jp)
• JVN#33218020「Feed2JS」におけるクロスサイト・スクリプティングの脆弱性 (www.ipa.go.jp)

Feed2JS では、

のように取得する RSS の URL を指定するようになっているのですが、この URL が Not Found のときはエラー画面が出るようになっています。そして、そこに URL が表示されるのですが、%3c が含まれていると < がそのまま出てしまったというお話です。ひたすらよくある XSS ですね。

※ちなみに CNET に「ウェブアプリケーション「Feed2JS」にクロスサイトスクリプティングの脆弱性 (japan.cnet.com)」という記事が出ていて、そこには「11月9日……公開した」とあるのですが、JVN や IPA のページの公開日は 20日になっています。私が連絡を受けたのも 20日なってからですし……。

• 「Feed2JS におけるクロスサイトスクリプティングの脆弱性」にコメントを書く

関連する話題: セキュリティ / IPA / JPCERT/CC