Commentaires sur : Mauvaise Saint Valentin pour Christine Boutin

Par : Christophe

Christophe — Sat, 25 Feb 2012 20:45:38 +0000

Ouh c’est vilain en effet
Bon, je vais pas chipoter, puisque htmlentities existe, autant l’utiliser, c’est vrai. C’est corrigé.
Mais le coup de l’utf7 suppose qu’on n’ait pas défini le charset dans la page où on l’affiche, ni dans l’appel à htmlspecialchars (ce que je n’ai pas fait et j’ai eu tort).
Merci pour vos remarques en tout cas.

Par : Winter Mute

Winter Mute — Sat, 25 Feb 2012 15:03:13 +0000

htmlspecialchar() est encore vulnérable à une attaque par UTF-7 (exemple: http://blog.kotowicz.net/2010/10/xss-hackme-challenge-solution-part-2.html).
Ne faudrait il pas plutôt passer par htmlentities() qui n’est plus vulnérable à cette attaque?

Par : Baptiste Fontaine

Baptiste Fontaine — Sat, 25 Feb 2012 13:24:45 +0000

Faute de frappe au début : « raccourciceur » (« raccourcisseur »).