2006/03/04)GoogleにXSSの情報の出所はBloggerユーザのブログだったようです。http://ph3rny.blogspot.com/2006/03/vulnerability-in-gmail.html予想に反してSubjectにスクリプトタグを入れるとJavaScriptを埋め込めるという単純なミスだったようです。日本人のWebプログラマなら「Subjectがエンコードされている」いるのは常識ですがシングルバイト圏のプログラマには常識ではなかったりします。エンコードされたSubjectヘッダに対してフィルタ処理を行っていたのでしょう。(多分)コーディング処理が終わった後にフィルタ処理を行っていない間違いはメールに限った事ではありません。PHPはブラウザからの入力は自動でデコーディングするのでこのようなミスは発生しづらいのですがPerl等のWebプログラムではよくある間違いの一つです。今すぐできる、Webサイトへの2要素認証導入JSONPは危険なので禁止そもそもエスケープとは何なのか?PHP文字列のエスケープPHPのHTMLエスケープ紹介エレクトロニック・サービス・イニシアチブのWebシステムのコンサルタントのブログです。PHPの開発、PHP4.x/5.xレガシーPHPセキュリティパッチサービスなどを行っています。ブログのサブタイトルを「書かない日記」としているのは、ブログを始めた時にあまり書かないつもりで始めたのでこのサブタイトルになっています。yohgaki@ohgaki.net私が記述したブログ中のコードは記載が無い場合はMITライセンスです。その他のコードは参考リンクなどのライセンス情報を参照ください。