Electronアプリã®XSSã§rm -fr /を実行ã™ã‚‹ - QiitaElectronアプリã§xssを発生ã•ã›ã‚‹ã¨ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ãŒå®Ÿè¡Œã§ãるらã—ã„ã®ã§rm -fr /を試ã—ã¦ã¿ã¾ã™ã€‚ 想定 web版ã¨electron版ã®ã‚ã‚‹ãƒãƒ£ãƒƒãƒˆã‚¢ãƒ—リケーションã¨ã„ã†è¨å®šã§ã™ã€‚攻撃者ãŒç”¨æ„ã—ãŸãƒªãƒ³ã‚¯ã‚’クリックã™ã‚‹ã¨ã€PC内ã®ã™ã¹ã¦ã®ãƒ•ã‚¡ã‚¤ãƒ«ã‚’消ã—去るã¨ã„ã†ã‚·ãƒãƒ¥ã‚¨ãƒ¼ã‚·ãƒ§ãƒ³ã‚’考ãˆã¦ã¿ã¾ã™ã€‚ ç”¨æ„ ç’°å¢ƒã¯ãƒ›ã‚¹ãƒˆmac OSXã€ã‚²ã‚¹ãƒˆã«ubuntu14.04環境をvagrantを利用ã—用æ„ã—ã¾ã—ãŸã€‚ expressã§ãƒªã‚¹ãƒˆã¨ãƒ•ã‚©ãƒ¼ãƒ ã‹ã‚‰ãªã‚‹è„†å¼±æ€§ã®ã‚ã‚‹ãƒãƒ£ãƒƒãƒˆã‚’ã¤ãã‚Šã¾ã™ã€‚エスケープ処ç†ã‚’ã—ã¦ãªã„ã®ã§ã€ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ãŒå®Ÿè¡Œã§ãる状æ³ã§ã™ã€‚ 'use strict'; const path = require('path'); const express = require('express'); const app = express(); const ejs = require(
{{#tags}}- {{label}}
{{/tags}}