ニコニコ動画 — 検索の XSS

2007-02-03

検索 ?p=search&s=<script>…</script> で任意の JavaScript/HTML を注入できた。

運営(ニワンゴ)へ直接報告(2007-02-03)したところ、3日後(2007-02-06)に「こちらで確認をし、修正を行なわせて頂きました」と返信があった。あわせて IPA へも届出(IPA#77094233)したが、こちらは修正完了の連絡まで 約 3 ヶ月かかった(2007-05-14 に「修正完了のご連絡」)。同時期に報告した各社が数日で修正したのに比べ、公的窓口を挟むと時間がかかることを実感した一件。

http://www.nicovideo.jp/?p=search&s=<script>alert('test');</script>