Dziura w Mozilla i Netscape

[valldek]

Izraelska firma software'owa odkryła dziurę w przeglądarkach Netscape i Mozilla, pozwalającą na czytanie plików z komputera użytkownika za pomocą kodu ukrytego na stronie WWW. Czy błąd ten został wyeliminowany w najnowszej wersji Mozilli PL?.

[GabrielBaines]

Izraelska firma software'owa odkryła dziurę w przeglądarkach Netscape i Mozilla, pozwalającą na czytanie plików z komputera użytkownika za pomocą kodu ukrytego na stronie WWW. Czy błąd ten został wyeliminowany w najnowszej wersji Mozilli PL?.

Błąd został poprawiony błyskawicznie - jego historię możesz zobaczyć tu: http://bugzilla.mozilla.org/show_bug.cgi?id=141061. Kolejny release Mozilli (a zatem i Mozilli PL) będzie już OK.

W RC1 błąd jeszcze nie był poprawiony, tak więc w ostatniej Mozilli PL, opartej o RC1, błąd również występuje. W następnej będzie już w porządku.

==
Gabriel

[GmbH]

Izraelska firma software'owa odkryła dziurę w przeglądarkach Netscape i Mozilla, pozwalającą na czytanie plików z komputera użytkownika za pomocą kodu ukrytego na stronie WWW. Czy błąd ten został wyeliminowany w najnowszej wersji Mozilli PL?.

Po pierwsze o ile mi dobrze wiadomo to dziura ta nie pozwala na czytanie plików i przesyłanie ich zawartości, plik jest tylko i wyłącznie wyświetlany lokalnie.
Po drugie w wersji 20020503 dziura została załatana Łatka oczywiście będzie dołączona także do najnowszego wydania mozilla.org oraz MozillaPL. Co do Netscape to nie mam zielonego pojęcia...

[GabrielBaines]

Dwie poprawki:

1. Myliłem się pisząc, że najnowsza Mozilla PL jest błędem zagrożona. Jak można przeczytać tutaj, Mozilla RC1 (a więc i ostatnia Mozilla PL) nie jest tym błędem zagrożona, ze względu na inny błąd, powodujący że XMLHttpRequest w ogóle nie działa.

2. Przykład demonstrujący błąd pokazuje zawartość pliku lokalnie (alert JavaScript), ale istota błędu jest poważniejsza - mając bowiem dostęp do zawartości pliku z poziomu JavaScript można go juz bez przeszkód wysłać na sewer, chociażby wstawiając go w ukryte pole formy i robiąc jej POST z poziomu JavaScript.

==
Gabriel

[GmbH]

2. Przykład demonstrujący błąd pokazuje zawartość pliku lokalnie (alert JavaScript), ale istota błędu jest poważniejsza - mając bowiem dostęp do zawartości pliku z poziomu JavaScript można go juz bez przeszkód wysłać na sewer, chociażby wstawiając go w ukryte pole formy i robiąc jej POST z poziomu JavaScript.

Ano tutaj masz całkowitą rację Nie pomyślałem o tym... W każdym razie wszystko się dobrze skończyło, a najważniejsze, że szybciutko