u.dan.co.jp — エラー出力の XSS

2006-11-23

dan kogai 氏が作った小物ツール「はてブと短縮 URL の Mashup」(u.dan.co.jp のリダイレクタ。Perl 製でソースも公開されていた)。2006-11-19、高木浩光氏がはてなブックマークで「HTTP レスポンス分割の疑い」とコメントしていたのを見て試したところ、レスポンス分割ではなく、エラーメッセージ出力時に HTML エスケープが漏れており XSS が成立した(Internet Explorer/Safari で確認)。当時、自分のブログ「技術メモ帳」で公表した。

http://u.dan.co.jp/r.cgi/<script>alert('easy xss');</script>

dan 氏はほどなく自身で修正記事を書き、この箇所を直した。後日、別の記事(JavaScript の小数計算)で「小数」を「少数」と書き間違えたのを本人から指摘され、やり取りが生まれた。