Blogのブログ記事は「HTMLタグ編集」でスクリプトを書くことができる。<script>alert(location)</script>と書けばalertが出るし、<script>location.href="calculator:"</script>と書けば電卓が起動する。26ChromeでもIEでも電卓が立ち上がった。これが脆弱性になるかというと、そんなことはない。Blogはユーザー別にサブドメインを作るようになっていて、livedoorのその他のサイトとは別になっているから。kusano-k.blog.jpでいくらスクリプトを動かしても、livedoor.comのセッション情報を盗んだりすることはできない。Blogの設定画面を見てみると、サブドメインを使用する以外に、標準設定としてblog.livedoor.jpを選択することができた。標準設定を使用した場合でも、記事中のスクリプトがそのまま動いたので、脆弱性として報告した。脆弱性ではないという返信があった。申し訳ありませんでした。upLoginユーザーは見つかりませんでした。