[symfony]1.1.4リリースですぞ！

symfony1.1.4がリリースされました（きっかけは私のコメントっぽい <- 最近、営業コメントも大事だと実感）。

フォーム関連のXSS脆弱性が修正されています。sfFormでのエラー時に、ユーザの入力値をメッセージに含ませている人は直ぐにアップデートしましょう。

例えば、バリデータを以下のように設定しているとき：

$this->setValidators(array(
  'message' => new sfValidatorString(array(
    'min_length' => 100
  ), array(
    'min_length' => 'メッセージ "%value%" は短すぎます。'
  ))
));

この場合、今まではユーザが１００文字以下で入力した場合、その値がエスケープされずに表示されていました。

確か既にどこかで、他のユーザの方がこの脆弱性を指摘していたと思うのですが、一向に修正される気配がありませんでした。そんな中、公式ブログに「セキュリティは真剣に考えなければいけない」という投稿がありました。Railsのformは第一級オブジェクトじゃないから、うんぬんかんぬん、という辺りで、よう分からん、と思ったのですが、いい機会だし、コメントに書いてみようと思い投稿してみました。

そしたら、半日で修正してリリースしちゃうもんだから驚き！ちゃんとコメントした上で。

なお、「セキュリティ・ポリシー」によると、セキュリティに関する問題はメールで送るのが正しい方法のようです。

最後に。上記のブログでRailsに言及しているように、fabienはほぼ毎日、PHP以外の言語で書かれたコードを読んでインスピレーションを得ているようです。また、Djangoには、symfonyのデバッグツールバーが移植されているようです。

symfonyいいよ！

Tags: security, symfony