サーチ(T-BookmarkPlus)の方もセキュリティホールではないが、脆弱性はある。新しいCGIにしなければならないだろうか、と本気で考えさせられた。ちなみに、T-BookmarkPlusの悪い点は、T-Bookmarkという『リンク集』から派生・改良された点にあり、『パスワードを必要としない』点だ。Allianceに久しぶりに顔を出そうか。......少し調べ、紅堂が設置していない別口のCGIにもセキュリティホールを発見した。あのCGI作者はWebセキュリティを考えていないし、勉強していないのだろう。プログラムも独学で勉強したのだろう。これは、仕様書段階で排除すべきセキュリティホールだ。パスワード暗号化処理でも不備があったし、仕方が無いのだろう。紅堂の場合は悪い点・改良点をルーズリーフにリストアップして、それが30個にも上って頭抱えた派。多機能大好きな紅堂ですから、『今じゃできない点』をリストアップしたわけで。自分のテリトリーさえセキュリティがしっかりしていれば問題ない。こちらの改良点に自然と入れてた項目を、旧CGIではチェックしてなかったわけで。そこまで危ないものだとは気づいてなかった。あの人たちは気づくまで放っておこう。セキュリティホールを見つけたからといって報告する義務は無い。趣味・自分のテリトリーで使うだけのCGIにセキュリティホールがあっても問題はないが、『配布CGIにセキュリティホール』があるのはまずいだろう。