炎上.inで任意のJavaScriptが実行できるえがい脆弱性

「任意のHTMLタグを組み込める」の方が正しいか.


はてなやらニュースサイトやらTwitterやらで「炎上」という言葉が入ったものを片っ端からリンクするえがい人の新サービス「炎上.in」えがい脆弱性が含まれていた.


炎上.inはTwitterの発言も収集しているので,試しに以下のようなつぶやきを投稿したところ…,

炎上 <script language="javascript">alert('hehehe.');</script>
http://twitter.com/mickey24/status/1178631948

しばらく後に炎上.inにアクセスすると,なんと私のTwitterの発言がそのまま炎上.inに組み込まれ,JavaScriptが実行されて「hehehe.」というメッセージボックスが表示された.どうやら拾ってきたデータのHTMLタグのエスケープを全くしていないみたい.


これはかなり危険な脆弱性だと思うので,えがみさんには即対応していただきたいところ.
みなさんもえがみさんが対応するまでは炎上.inにアクセスしないことをおすすめします.


追記 2009/02/05 16:48
どうやら修正されたようです.