メールフォーム プラグイン HTMLタグがエスケープされない
- » mitchy731 > メールフォーム プラグイン HTMLタグがエスケープされない @ 2016/7/7 15:31
- katokaisya > Re: メールフォーム プラグイン HTMLタグがエスケープされない @ 2016/7/12 11:22
mitchy731 > メールフォーム プラグイン HTMLタグがエスケープされない @ 2016/7/7 15:31 |
---|
BaserCMS 2.1.2 にてメールフォームプラグインを使いフォームを作成しテストをおこなっていたところ、
一部動作でHTMLタグがエスケープされず、XSS可能となっていました。 【再現手順】 ・任意のフォーム(テキスト項目有り)を作成 ・フォーム入力画面より、テキスト項目にHTMLタグを記述 (「テスト"><!--」等) ・「入力内容を確認する」から確認画面に遷移する。(確認画面ではエスケープされている) ・確認画面の「書き直す」から入力画面に戻る。 以上で、確認画面から入力画面に戻った際に、テキスト項目の値がエスケープされておらず、 記述したHTMLタグが有効になってしまっています。 バージョンが古いこともあり、別サイトで用いていた BserCMS 3.0.6.1 で作成したフォームで試したところ、 やはり同様に、記述したHTMLタグが有効となっていました。 バージョンが古いため起こるバグでしょうか。また、修正するにはどの様にすればよいでしょうか。 稼働中のサイトという事もあり、容易にバージョンアップが行えないため、ファイル修正で完結できるのが理想です。 よろしくお願い致します。 ■ BaserCMSのバージョン:2.1.2 (3.0.6.1 でも再現) ■ レンタルサーバー名:独自 ■ OSの種類:CentOS release 5.5 ■ PHPのバージョン:5.3.3 ■ データベース種類・バージョン:MySQL 5.1.41 ■ スマートURLの利用: ON ■ 設置フォルダ: サブフォルダ ■ 利用しているデータベース: MySQL ■ PHPスキル(自己評価): C |