Route 477(2009-10-13)â– [rails] Rails3ã«ã€Œãƒ‡ãƒ•ã‚©ãƒ«ãƒˆã§HTMLエスケープã™ã‚‹æ©Ÿèƒ½ã€ãŒå…¥ã£ãŸã‚‰ã—ã„ ERBã§ã¯ã€Œ<%= foo %>ã€ãŒã‚¨ã‚¹ã‚±ãƒ¼ãƒ—ãªã—ã€ã€Œ<%= h foo %>ã€ãŒã‚¨ã‚¹ã‚±ãƒ¼ãƒ—ã‚ã‚Šã§ã™ãŒã€ Rails3ã®trunkã§ã€ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆã§HTMLエスケープを行ã†æ©Ÿèƒ½ãŒå…¥ã£ãŸãã†ã§ã™ã€‚ Riding Rails: What's New in Edge Rails 安全ã®ãŸã‚ã«ã€Œ<%= foo %>ã€ã®æ–¹ã‚’エスケープã‚ã‚Šã«ã™ã¹ãã ã‚ã†ã¨ã„ã†è°è«–ã¯å‰ã‹ã‚‰ã‚ã£ã¦ã€ 実装もErubis(オプションã§å¯èƒ½)ã¨ã‹ SafeERB*1 *2ã¨ã‹ ã‚ã£ãŸã‚ã‘ã§ã™ã‘ã©ã€ã§ãã‚Œã°Rails標準ã§ãã†ãªã£ã¦ãŸæ–¹ãŒè‰¯ã„ã—ã€ãã®å¤‰æ›´ã‚’入れるãªã‚‰ç¢ºã‹ã«ãƒãƒ¼ã‚¸ãƒ§ãƒ³2→3ã®ä»Šã—ã‹ãªã„æ°—ãŒã—ã¾ã™ã€‚ エスケープを無効ã«ã™ã‚‹ã«ã¯String#html_safe!を呼ã¶ã‹ã€ãƒ—ラグインã§ã€Œ<%= raw foo %>ã€ã®ã‚ˆã†ã«æ›¸ã‘ã‚‹
#8371 (to_json cross site scripting security issue (XSS)) - Rails Trac - Trac
{{#tags}}- {{label}}
{{/tags}}