]> git.vanrenterghem.biz Git - git.ikiwiki.info.git/commit
HTML-escape error messages (OVE-20160505-0012)
authorSimon McVittie <smcv@debian.org>
Wed, 4 May 2016 07:46:02 +0000 (08:46 +0100)
committerSimon McVittie <smcv@debian.org>
Thu, 5 May 2016 22:43:17 +0000 (23:43 +0100)
commit32ef584dc5abb6ddb9f794f94ea0b2934967bba7
tree0610975a5b3b70b785999dc2dd7fa1a4ef53ae30
parent355ba851378a8194fa62db4be97015f0675d34aa
HTML-escape error messages (OVE-20160505-0012)

The instance in cgierror() is a potential cross-site scripting attack,
because an attacker could conceivably cause some module to raise an
exception that includes attacker-supplied HTML in its message, for
example via a crafted filename. (OVE-20160505-0012)

The instances in preprocess() is just correctness. It is not a
cross-site scripting attack, because an attacker could equally well
write the desired HTML themselves; the sanitize hook is what
protects us from cross-site scripting here.
IkiWiki.pm
IkiWiki/CGI.pm