【修復完了】よくわかんないTwitterバグ？のまとめ

憂夏と日本の仲間たち @udx

【RT希望】レインボー被害報告。WinだとTL真っ白になってMacだとでかいbとかの文字が表示されるのかな？

憂夏と日本の仲間たち @udx

みんな！レインボーで今TL真っ白になってないか！？　絶対ブロックだぞ！！

バイラッター @viratter

http://j.mp/bYKuKS RT @kiina02: 【拡散希望】危険⇒PC公式twitter、twitter.web、Tween、twitter.com　　安全⇒ついっぷる、モバツイ、ゆびったー、などの非公式だそうです。　変なリンクを押さない限り安全らしいです。

Masato Kinugawa @kinugawamasato

クリティカルな問題でありながら報告後長らく修正されなかったこと、さらにツイッター側が自ら脆弱性を公開したままにしており問題意識があまりにも低いことなどを考慮して、背後で巧妙に悪用されるよりは早急に問題の重大さを認識させ対策させた方がいいだろうという判断で虹を架けさせて頂きました

Masato Kinugawa @kinugawamasato

なるほど虹じゃねーの

iPhone ニュース @jp_iphone

【重要】 （緊急情報の為、手動で投稿します） 只今、XSSの脆弱性により、Twitter公式WebからTwitterを利用すると不本意のツイートやRTをされる可能性があります。Twitter.comを利用している方は、すぐにログアウトして下さい。公式Web以外を使用してください。

ツイッター ニュース @jp_twi

【重要】 （緊急情報の為、手動で投稿します） 只今、XSSの脆弱性により、Twitter公式WebからTwitterを利用すると不本意のツイートやRTをされる可能性があります。Twitter.comを利用している方は、すぐにログアウトして下さい。公式Web以外を使用してください。

女性専用ご近所セフレ探しbot（東京・神奈川・千葉・埼玉・茨城・栃木・群馬・山梨） @gokinjo_friend

Twitterのダイレクトメッセージはよく公開ツイートになってしまう–CEOのEvan Williamsも犠牲者に http://bit.ly/d236SI

女性専用ご近所セフレ探しbot（東京・神奈川・千葉・埼玉・茨城・栃木・群馬・山梨） @gokinjo_friend

Togetter - 「『しばらくWebからTwitterのhomeを見てはいけない！』　Twitter XSSテストに巻き込まれた人、先頭から」 http://bit.ly/bKUcpA

岡安モフモフ（アーガイル社長）＠ChatGPTでサービスつくる人、SNSマーケ歴15年 @shields_pikes

これは2週間前の記事。9/8時点でTwitter側は修正対応した、って言ってたけど、まだ穴があったんだね。 RT @cot_ce: TwitterのXSS脆弱性突いてCookieを盗む攻撃、Kasperskyが報告 http://bit.ly/cQUEdF

AKAYAKA / 中谷干 @akayaka

ただいまTwitterのWebページのほうで脆弱性が見つかってて、リンクにマウス乗せるだけで何か投稿されたりとかちょっと危ないこと起こる危険性あるので、しばらくの間クライアント経由でのアクセスオススメですよー

岡安モフモフ（アーガイル社長）＠ChatGPTでサービスつくる人、SNSマーケ歴15年 @shields_pikes

怪しいツイートに近寄らないと言っても、フォロワーからのRTなどで勝手にタイムラインに飛び込んでくるので、一番の対策はPCやiPhoneのWebブラウザからはTwitterを見ないこと。これを機に、クライアントアプリを導入してみると吉かも。

岡安モフモフ（アーガイル社長）＠ChatGPTでサービスつくる人、SNSマーケ歴15年 @shields_pikes

twitterの140文字の投稿文の中で、JavascriptやCSSが使えるセキュリティホールが見つかったみたいですね。背景色を変えて遊ぶぐらいならいいけど、危険なものも作れそうなので、対応が済むまでは怪しいツイートには近寄らない方がいいかも。

hapi⇒＠VRDJ：10/18,10/20,10/23 @hapinano

さきほどtwitterのXSSで遊んでいた人のホームがtechnically wrongが出て見れない状況になってるようです。虹色ツイートの遊びすぎに要注意。

ういにゃん|フリーランスUnityエンジニアDJ Youtuber @ui_nyan

【ここまでのまとめ】TwitterのWebにXSS発覚→色を変えたりする人登場→小池さんが文字消したり、はまちちゃんが勝手にツイートさせたりと大荒れに→XSS使った人のHOMEが片っ端から幻想送りに（ｲﾏｺｺ）

AKAYAKA / 中谷干 @akayaka

とりあえずwindow.alertがonmouseoverで開くところまでは確認した。それ以上は怖いのでやめとく。

ういにゃん|フリーランスUnityエンジニアDJ Youtuber @ui_nyan

XSSで自動ポストやばいな

Bridge (English) @thebridge_e

[New]: Twitterのダイレクトメッセージはよく公開ツイートになってしまう--CEOのEvan Williamsも犠牲者に http://bit.ly/aFop5U

hapi⇒＠VRDJ：10/18,10/20,10/23 @hapinano

どちらにせよ虹色を表示させるツイートはWeb以外のtwitterツールを見ている人にとって端から見ると荒らしにしか見えない感じがするから、何度か続けていると不快に思ったユーザーがリムーブしちゃうだろうからフォロワーが減るかもね。

AKAYAKA / 中谷干 @akayaka

見事に脆弱性だこれ

Masato Kinugawa @kinugawamasato

#つけたのはクリックしてちゃんと飛べるようにするためであって#はXSSに必要ないです。URLの後に続くスラッシュとスラッシュの間にある@の後のダブルクォートがエスケープされずにタグの中に入る。 http://example.com/@"/

hapi⇒＠VRDJ：10/18,10/20,10/23 @hapinano

なるほどなるほど、twitter.com内のIDアカウントに「＃＠」をつけるとハッシュタグと返信、そして外部URL絡みで不具合が発生してaタグで囲んでいる状態になると。aタグ内の命令であればなんでもできるからスタイルシートやjavascriptが動作可能なわけね。

hapi⇒＠VRDJ：10/18,10/20,10/23 @hapinano

RainbowTwtrって何事かと思ったら書き込んだCSSで色を再現してるわけね、これtwitterの穴を突いてるんじゃないのかしら。

Masato Kinugawa @kinugawamasato

そんな訳でRainbow Twitterをリリースしました。各自RTしてタイムラインをカラフルにしましょう！！！(新Twitterには対応していません) http://twitter.com/rainbowtwtr

Masato Kinugawa @kinugawamasato

もう1ヵ月経つので言うけど、このXSS-after-@ issues、僕が8月14日に報告したものなんだけどなんでold Twitterで修正されてないのにTwitterの中の人自ら丸見えにさせてるの？ http://bit.ly/aDhTs4