SuExecではこのような問題が出る可能性があるという話。Typeのセッション管理で使われるCookieの値に、ハッシュ化されたユーザーアカウント情報が含まれており、以下の条件を全て満たした場合に、第三者による不正なアクセスが可能になります。"http://tdiary.seesaa.net/article/3600409.html"この問題は一言で言えば、セッション管理に利用しているCookie値にユーザー/パスワード情報を含んでしまっている、つまり所謂「セッションID」管理を行っていない、という点です。Plus!で採用されているセッション変数の対応を希望します。$_SESSION;official:自作プラグイン/footprint.inc.phpのようなもの*1を作ろうとした場合に本体(スキン)に手を付けなくてもいいようにしたいです。11:00:40また、official:config.inc.phpやBugTrack/714など、セッションを使ったほうが良さそうなものが出てきているためです。11:03:36あとはやっぱり・・・Basic認証でAuthorizationヘッダが毎回流れるのは気持ち悪いですから、将来的には、一回認証がとおったらあとはsessionで処理、みたいにしたほうがいいのではないでしょうか*2。12:00:47折角第三者として評価できるのですから、本当に上記で適切であるのかをこちらで検討する必要があります。セッションハイジャックなどの既知のセキュリティを本当にケアするのか、またプラグインに安易な脆弱性をもたらさないのか等々。$_SESSION以下の特定の名前(配列)を確保して、プラグインに引き渡す前にその配列を除去しておくのはどうか等、いろいろ思うのですが情報がありません。12:15:37単純に「セッション変数を追加して欲しい」という単発の要望だけですと、BugTrack/709における「ユーザーパスワードもmd5化して欲しい」という要望のようなものと同じように受け止めざるを得ません。目先の視点しかないコードや、誰かが書いたものを未検証のまま突っ込んだコードは既にPukiWikiの中に既に沢山あるので、それだけならばご勘弁願いたいと思います。ついては見つけました。plus:BugTrack/3ですね。回避策であるように見受けます。12:22:26セッションは、GET/POSTと同等ではなくて、より危険なものである(簡単な実装でも良い場合と、そうでない場合がある)という視点と、そのための工夫(ケア)が欲しいです。