fukaz55 :: newentryプラグイン XSS脆弱性対応

以前リリースしたnewentryプラグインですが、れっつ日記のandiさんから、XSS脆弱性が存在するとのご指摘を受けました。取り急ぎ対応版を作成しましたので、使用している方は対応をお願いします。

掲示板で利用しているnewentryプラグインでXSS脆弱性があるとの事で、さっそく対応版に入れ替えました。お忙しい中、対応に追われて、頭が下がります。いじりたい所があるとの事なので、どんな物になっていくのかのんびり待ちたいと思います。

ちょっと改造して左が新しいエントリ、右が古いエントリとなるように変えました。フレーバーだけなら改造しなくても、逆にすればいいだけなんですが、link属性で移動するとデフォルトのback_and_forthでは、右が新しいエントリ、左が古いエントリとなっていたので、私的には左が新しい物の方が解りやすいと思ったので。だって、pagingだって、右が古いエントリを表示するわけですから。

改造方法はいたって簡単、46行目と54行目を

if ($index < $#file_info) {
　　　↑　　　↓
if ($index > 0) {

と入れ替える。そして47行目と55行目の↓の部分を

($index + 1, \@file_info);
       ↑　　　↓
($index - 1, \@file_info);

と入れ替えるだけで終了。自己満足でしかないような気もするけど、やっぱり新しいエントリは左にくるべきでしょう！

追記：
dynamic_cacheを入れている関係でLittleStoryのMayimさん改造版のback_and_forthに入れ替えました。...が、link属性がうまく働いていない様子。何故だ。orz

interpolate_fancyを使って、My blog newsカテゴリーは、コメントとトラックバックをクローズする事にしました。

<?$path unlike="(news)">隠す部分</?>

過去のトラックバックやコメントは見れますが、今後はコメントやトラックバックは付けられません。尚、My blog newsカテゴリの表示の時だけ、コメント数などを表示する場所に、Comment & TrackBack is closed.と表示させるようにしました。

<?$path unlike="(news)">
 <a href="$url$path/$fn.htm#trackback" title="「$title」へのトラックバック">$writeback::tb_status</a>
 <a href="$url$path/$fn.htm#comment" title="「$title」へのコメント">$writeback::cm_status</a>
 </?>
 <?$path like="(news)">Comment & TrackBack is closed. 
 </?>

普通であればコメント投稿フォームが表示される場所にも、

<?$path like="(news)">
<b>As for this entry, the comment & trackback is closed. </b>
</?>

As for this entry, the comment & trackback is closed.と表示させるようにしました。

こっそり設置したのは....実はguestbookプラグインでサイドバーにguestbookを設置したのでしたー。javascriptで折りたたんだ状態がデフォルトにしているので、気付かずに通り過ぎる方も多いかも。BBSあるんだから必要ないだろって意見もありましょうが、とりあえず設置してみたかったんです。かわいいから。

ちなみに、cookieはCk2 Blogger内のすべてのサイト（但しPrivate Mode以外）で、使いまわしています。guestbookにも仕込みました。javascriptでの仕込み方は、「ラジオボタンでcookie」←こちらのエントリ。

追記：
何やら、名前の前に">"が付いてしまいます。プラグインの一番下のhtml表示部分では、">"なんて入れてないのになぁ。プラグインの中身も見たけど、どこを修正するかわからず、とりあえず放置。 解決。ただのケアレスミスでした。 orz

blosxomの時刻データ保持にentries_indexを使っていた（BSKに付いていたからな）んですが、エントリファイルも400近くなってきたので、個々のエントリ内に時刻保持できる方がより安全だと思い、entries_cacheを徒書の中のお方が改造したentries_kacheに乗り換えました。手順は、

1. Extension3さんで配布されているentries_indexプラグイン補助ツールを頂いてきてサーバーにアップし、entries_index.datに保存されているデータ時刻をファイル自体の更新時刻に変換させる。（適所要設定）
2. サーバーのエントリファイルを見て、ちゃんと時刻が書き換わっているか確認する。
3. entries_indexとデータファイル（entries_index.dat）を削除
4. entries_kacheを頂いてきてサーバーにアップロードする。（適所要設定）
5. metaプラグインを頂いてきてサーバーにアップロードする。
6. ?reindex=yを付けてアクセスし強制キャッシュする。

こんな感じで終了。10分もあれば余裕でできちゃいました。これで、多い日も安心。それにしても、デフォルトのBSKからだいぶ入れ替えてしまって、ほとんどデフォルトじゃなくなってます。こーゆーのが楽しめるのがblosxomなんですけどね。

追記：
心なしか表示も少し速くなった気がする。気がするだけかもしれないかも。

metaプラグインを使ったタイトルと名前の切り離しの改造ですが、mizzyさんに改造の仕方教えて頂きました。これもまた、エントリ内に補完しておきたいので、newentryプラグインの改造方法をまとめておこう。

mizzyさんが教えてくれたnewentryプラグイン改造方法まとめ

気になる点や、今後改造したいメモ

1. URLやメールアドレスが入力されていた場合、ブラウザのタイトルにたとえばこんな感じで、タグもタイトルに付いてしまうのを除去したい。 解決*1
2. nameとURLやメールアドレスやタイトルを切り離したい。（metaプラグイン辺り持ってくればできそう。）解決*2
3. RSSにコメント件数（レス）を表示させたい。解決*3

ぬぅ、どれも自分1人で改造無理っぽい。(´д｀)