[Bug] Entities worden soms wazig omgezet

[bindsa]

Soms gebeuren er rare dingen bij het omzetten naar entities. Dit bijv. gaat goed:

code:

<script>alert('xss')</script>

En dit (plaatje):

Wordt:

code:

fdsa” onload=”alert(1);” />

[crisp]

omdat ” != " (en ” zit niet in de standaard ISO-8859-15 characterset die wij gebruiken)

[bindsa]

crisp schreef op zaterdag 06 augustus 2011 @ 13:01:
omdat ” != " (en ” zit niet in de standaard ISO-8859-15 characterset die wij gebruiken)

Ok helder

[crisp]

In andere woorden: sommige software (text-processors e.d.) heeft er een handje van om gewone quotes te vervangen door de zogenaamde 'smart quotes'. Dat het daarmee syntactisch geen geldige code meer is is misschien nog wel erger dan het feit dat dergelijke karakters - door het feit dat wij helaas nog geen UTF8 gebruiken - door de browser al omgezet worden naar entiteiten. Aan onze kant kunnen wij niet meer zien of het daadwerkelijk letterlijk als entiteit was bedoelt of dat het om een door de browser omgezet karakter gaat.

We willen ooit nog wel de overstap maken naar UTF8, maar zoals je zult begrijpen is dat niet echt triviaal. Tot dan is het dus een 'can't fix' en is het zaak extra goed op te letten met het copy/pasten van code en te controleren of o.a. quote-karakters wel gewone ANSI-quotes zijn