前回：やられアプリ BadTodo - 4.1 XSS（クロスサイト・スクリプティング） - demandosigno 前回XSSでCookieを盗みました。 Cookieの属性の１つにHttpOnlyというものがあります。XSSの緩和策として導入されました。この属性はJavaScriptからCookieの参照・更…

前回：やられアプリ BadTodo - 22 A8:2017 - 安全でないデシリアライゼーション - demandosigno CWE - CWE-434: Unrestricted Upload of File with Dangerous Type (4.13) Todoリストにはファイルをアップロードする機能があります。 これを使いPHPファイル…