Ethna

Fork

開発版 Ethna 2.5.0 preview4 と 安定版 2.3.7 をリリースしました。これらのリリースには、以前のバージョンで見つかった Ethna_ActionForm#getHiddenVars のクロスサイトスクリプティングの脆弱性を修正したものが含まれています。

具体的には、以下の条件を全て満たした場合にセキュリティ上の問題が再現します。

1. 配列のフォーム定義を行っている
2. 上記のフォームを、Ethna_Actionform#getHiddenVars でHTMLの出力として取得し、
   (setAppNEする等して)テンプレートにそのまま出力している。

セキュリティに関わるリリースであるため、すべてのユーザーにアップデートを推奨します。