security issues
authorJoey Hess <joey@kodama.kitenet.net>
Mon, 12 Nov 2007 19:14:00 +0000 (14:14 -0500)
committerJoey Hess <joey@kodama.kitenet.net>
Mon, 12 Nov 2007 19:14:00 +0000 (14:14 -0500)
doc/todo/__42__forward__42__ing_functionality_for_the_meta_plugin.mdwn

index 30bcbd58ff92e953fd548518844e33d97c3ef546..5cd4def3817c8f6a87135c7db6afb2090bc896aa 100644 (file)
@@ -24,3 +24,12 @@ I can also submit a Git patch, if desired.
 
 
 --[[tschwinge]]
+
+> The html scrubber cannot scrub meta headers. So if you emit one
+> containing user-supplied data, it's up to you to scrub it to avoid all
+> possible XSS attacks. Two attacks I'd worry about are cyclic meta refresh
+> loops, which some, but not all web browsers detect and break, and any way
+> to insert javascript via the user-supplied parameters. (Ie, putting
+> something in the delay value that closes the tag can probably insert
+> javascript ATM; and are there ways to embed javascript in the url?)
+> --[[Joey]]