togetterの中の人 （デコレーション機能に脆弱性対応中）

touji@t3 @toujitwtt

@yositosi togetterの中の人とお見受けしてお願いします。人づてで知りましたが技術的にこのような事ができるのは大変まずいと思われます。ぜひ早急にシステム的な対処を。＞ http://togetter.com/li/26927

bongole @bongole

@yositosi よんだ？ｗ

@syawatan

XSSｷﾀ━━━━(ﾟ∀ﾟ)━━━━!! RT togetterのセキュリティーホール突いてみた http://togetter.com/li/26940

@syawatan

@yositosi はじめまして。このたび http://togetter.com/li/26940 のようなことができたのですが、重大なので修正お願いします。あ、悪いことしようとしたわけではありません。

@sotokanda_goro

RT @syawatan: @yositosi はじめまして。このたび http://togetter.com/li/26940 のようなことができたのですが、重大なので修正お願いします。あ、悪いことしようとしたわけではありません。

うなりすと @unarist

@yositosi 見てのとおり、とでも言えばいいんでしょうか、togetterにセキュリティホールが見つかったようなので報告しておきます。参考：http://togetter.com/li/26942 http://togetter.com/li/26940

@62key

RT @syawatan: @yositosi はじめまして。このたび http://togetter.com/li/26940 のようなことができたのですが、重大なので修正お願いします。あ、悪いことしようとしたわけではありません。

@YukiKazura

RT @syawatan: @yositosi はじめまして。このたび http://togetter.com/li/26940 のようなことができたのですが、重大なので修正お願いします。あ、悪いことしようとしたわけではありません。

@syawatan

お許しください！ RT @nullkal: トゥギャッターの作者さん、お許しください！

@syawatan

@nullkal その発送はあったｗ

@syawatan

今のtogetterはデコレーション編集ページでも弄ればリストの内容変えれちゃうので、デコレーションしただけと思わせて捏造したり。

カル @nullkal

@yositosi togetter重大な脆弱性(CSRF)を見つけてしまいました。修正おねがいします http://bit.ly/9F7u2P

🌻ﾅょωﾚよ″丶)ょぅすﾚﾅ🌻 @rna

@yositosi セキュリティホール見つけたらどこに連絡したらいいですかー?

🌻ﾅょωﾚよ″丶)ょぅすﾚﾅ🌻 @rna

いちおうIPAに届けてみた。初体験。

アリソン @arisonjp

@yositosi 既出ですが、自分もTogetterで問題になっている方法がわかりました。ダイレクトメッセージ等送りたいのですが、送れないので困ってます。

カル @nullkal

Togetterの脆弱性 1: ツイートを捏造可能 2: スクリプト挿入の脆弱性で任意のスクリプトを実行可能 3: CSRFで第三者がユーザーの意思とは関係無く攻撃ページを開いたユーザーのアカウントでトゥギャることが可能 123全部組み合わせれば瞬く間に広がるスパムの完成

カル @nullkal

togetterの改竄の問題は取得したツイートを全部DBに突っ込んでクライアント側ではID使って処理するしかない CSRF対策はとりあえずはリファラ、できればワンタイムトークンがいいけど

yositosi @yositosi

@nullkal ご指摘ありがとうございます。脆弱性の問題等は今後適切に対応していきたいと思います

yositosi @yositosi

「てｓｔ」をトゥギャりました。 http://192.168.1.5/php/twitarchive/li/2747

ぺんつー @pen2

@yositosi ローカルいpw

じんめん @Jinmen

@pen2 @yositosi ｗｗｗ

yositosi @yositosi

うわ、超テストしてるのバレた・・・

yositosi @yositosi

@syawatan ご指摘ありがとうございました。サービスの運営の今後の参考にさせていただきたいと思います

yositosi @yositosi

@rna セキュリティーホールとかあったら私に連絡していただけると助かります

🌻ﾅょωﾚよ″丶)ょぅすﾚﾅ🌻 @rna

@yositosi フォローしてもらえればdm送ります