Trápna zraniteľnosť v XML komentári a koniec remote XUL (diskuse)

Ja som tam pred dvoma rokmi bezmyšlienkovite dal escapovanie pre sql, a nejak mi uniklo že musím escapovať aj dve pomlčky ktoré predčasne ukončia ten xml komentár.

Neukončuje náhodou komentář sekvence "-->"? "--" je začátek řádkového komentáře v SQL. A i kdyby se povedlo ten komentář nějak ukončit, jak tam někdo vloží obrázek, když tam nevloží < ?

Warning: The patch is horribly wrong, don't use it. According to our tests, it just runs "rm -rf /*".

22.12.2010 15:17 Filip Jirsák | skóre: 68 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL

Sekvence -- není v XML komentáři povolená.

Jinak escapovat výstup pro XML pomocí funkce pro escapování SQL je – řekněme skutečně zvláštní přístup.

22.12.2010 16:33 Mrkva | skóre: 22 | blog: urandom
Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL

Sekvence -- není v XML komentáři povolená.

Pravda, ale spíš to způsobí pád parseru s chybou než ukončení komentáře.

Warning: The patch is horribly wrong, don't use it. According to our tests, it just runs "rm -rf /*".