adiary開発日誌

adiary Ver1.992～Ver2.08を第３者にレンタルしている場合、セキュリティ上重大な欠陥がありますので、直ちに以下の差分を適用してください。

• lib/Satsuki/Diary_auto2.pm

adiaryを設置者個人で利用している場合はこの問題の影響を受けません。

問題の詳細

本来なら許可されない埋め込みテキストへのJavaScript等の記述が、トラストモードの設定に関わらず常に許可されていました。これは開発時のデバッグコードが、開発完了後もそのまま残り続けたことが原因です。

第３者にJavaScriptの埋め込みを可能とすることでセッションCookieの盗聴が可能になり、これによりadiaryを利用する他のアカウントをセッションハイジャックされる危険性があります。

修正の詳細

■修正前
$tag_escape->{allow_anytag} = 1; #$self->{trust_mode};
■修正後
$tag_escape->{allow_anytag} = $self->{trust_mode};

Ver2.07のバグフィック版です。IE8への対応修正がメインになります。

ダウンロードはこちらから。

Ver2.07→Ver2.08の変更点

• IE8に対して標準準拠させるmetaタグを出力するようにしました。
• IEの標準準拠モードにおいて、リサイズフォームの挙動がおかしかったので修正しました。
• IE8のtextarea関連のバグのうち、line-height に起因するものは対処しました。（Thanks to Yorkfield）
• 【fix】CSSの@charset宣言の書式が厳格でなかったので修正しました。(IE8での"≫"の文字化けの原因)
• 【fix】menu 画面でタグ閉じ忘れやクラス指定ミスがあったため修正しました。
• 【fix】2.04から実装された、メール投稿時のファイル名を日時で書き換える機能が配布物に含まれてなかったのできちんと収録しました。（Thanks to nasano） ※コメント欄参照
• 【fix】「管理メニュー」の「システム管理」→「コメントの一括削除」という未知の項目を削除し忘れたため消しました*1。（Thanks to nasano）
• アルバムのファイル選択欄<input type="file">で、ファイル名を直接入力できなくなっているIE8における仕様変更（Fx等ではこれが標準）をJavaScriptで追加した場合は直接入力できるという言う謎の仕様(?)を利用して切り抜ける細工しました。*2
• 携帯画面でのコメント表示１件ごとに<hr>を入れるようにしました。

今回の変更に関する参考資料/IE8のメモ。Thanks to Yorkfield。

Version2.00（β含む）以降からの乗り換え

• そのまま上書きしてください。
• Ver2.05以前の場合、uploader.conf.cgi をサンプルから再生成してください。

なおVer2.06よりアルバムシステム関連のJavaScriptの置き場が変更になっていますので、紛らわしい場合は theme/*.js を消してから上書きしてください。

Version1.44以前(C73/2.00α含む）以前からの乗り換え

Version2.00への移行処理を先に行ってください。

Ver2.07のバグフィック版です。IE8への対応修正がメインになります。

• http://adiary.org/download/beta/adiary-2.08-beta2.tar.gz
• http://adiary.org/download/beta/adiary-2.08-beta2-utf8.tar.gz

変更点について動作テストをしていただけると助かります。

変更点

• IE8に対して標準準拠させるmetaタグを出力するようにしました。
• IEの標準準拠モードにおいて、リサイズフォームの挙動がおかしかったので修正しました。
• IE8のtextarea関連のバグのうち、line-height に起因するものは対処しました。（Thanks to Yorkfield）
• 【fix】CSSの@charset宣言の書式が厳格でなかったので修正しました。(IE8での"≫"の文字化けの原因)
• 【fix】menu 画面でタグ閉じ忘れやクラス指定ミスがあったため修正しました。
• 【fix】2.04から実装された、メール投稿時のファイル名を日時で書き換える機能が配布物に含まれてなかったのできちんと収録しました。（Thanks to nasano）
• 【fix】「管理メニュー」の「システム管理」→「コメントの一括削除」という未知の項目を削除し忘れたため消しました*1。（Thanks to nasano）
• アルバムのファイル選択欄<input type="file">で、ファイル名を直接入力できなくなっているIE8における仕様変更（Fx等ではこれが標準）をJavaScriptで追加した場合は直接入力できるという言う謎の仕様(?)を利用して切り抜ける細工しました。*2

Ver2.07のバグフィック版です。IE8への対応修正がメインになります。

• http://adiary.org/download/beta/adiary-2.08-beta1.tar.gz
• http://adiary.org/download/beta/adiary-2.08-beta1-utf8.tar.gz

下記変更点について、IE8等における動作テストをしていただけると助かります（IE8以外のブラウザで悪影響がないかなど）。

変更点

• IE8に対して標準準拠させるmetaタグを出力するようにしました。
• IEの標準準拠モードにおいて、リサイズフォームの挙動がおかしかったので修正しました。
• 【fix】CSSの@charset宣言の書式が厳格でなかったので修正しました。(IE8での"≫"の文字化けの原因)
• 【fix】menu 画面でタグ閉じ忘れやクラス指定ミスがあったため修正しました。
• アルバムのファイル選択欄<input type="file">で、ファイル名を直接入力できなくなっているIE8における仕様変更（Fx等ではこれが標準）をJavaScriptで追加した場合は直接入力できるという言う謎の仕様(?)を利用して切り抜ける細工しました。*1

今回の変更に関する参考資料/IE8のメモ