Php/Smarty/セキュリティ
提供: 初心者エンジニアの簡易メモ
2015年5月20日 (水) 02:58時点における127.0.0.1 (トーク)による版 (ページの作成:「==サニタイズ== テンプレはrequest項目以外も、escapeをかけておく ==grepでテンプレ変数確認== {{<nowiki />\$[\w]+}} ==脆弱性== 3.1.8未...」)
サニタイズ
テンプレはrequest項目以外も、escapeをかけておく
grepでテンプレ変数確認
{{\$[\w]+}}
脆弱性
3.1.8未満のSmartyにはhtml_optionにXSS脆弱性がある
- 報告
http://jvndb.jvn.jp/ja/contents/2012/JVNDB-2012-003613.html
- 攻撃サンプル
http://code.google.com/p/smarty-php/issues/detail?id=98&can=1
