[Moz. FireFox 0.8] http-referer-header gebruikt base-tag - Client software algemeen

maandag 22 maart 2004 16:58

Acties:

Topicstarter

Als je het eerste stukje van de standaard template van GoT bekijkt, zie je dit:

HTML:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-15">
<title>Topic-Title - Forum - GoT - Powered by React</title>
<base href="http://gathering.tweakers.net/global/templates/got/">

Het gaat mij om de in dit stukje HTML laatste regel.

Als ik namelijk op GoT surf, dan krijgen plaatjes en pagina's die GoT als parent hebben bij mij namelijk niet de standaard /forum/list_messages/1234 mee, maar /global/templates/got/ mee als referer. Dit is niet het geval in bijvoorbeeld Internet Explorer.

Hier kun je ff je referer checken om te zien wat ik bedoel (FireFox-gebruikers that is):

Iemand enig idee? Het is na mijn weten namelijk niet een bekende bug

(volgens de search en Google that is

)

edit:

Sorry, dit is alleen het geval bij een iframe

[ Voor 21% gewijzigd door momania op 22-03-2004 17:04 ]

maandag 22 maart 2004 21:21

Acties:

Glabbeek

Dat dus.

Ik kan het ook niet in Bugzilla terugvinden, maar wel vergelijkbare issues, dat wanneer links via de sidebar geopend worden, dat de referer geset wordt naar de lokatie in de huidige tab. Dat is dus niet blank, wat ik wel zou verwachten; je opent tenslotte een compleet nieuwe pagina zonder dat er een relatie hoeft te zijn naar de op dat moment openstaande site.

Ik heb dit even getest, maar dat lijkt in ieder geval in Firebird 0.8 niet te gebeuren

Wat jij aangeeft is volgens mij een aardig security-leak. Je kan namelijk elke referer op deze manier spoofen: Gewoon een simpele HTML-pagina maken met een base-href.

Zie hiervoor ook dit voorbeeldje, wat echt niet bij t.net draait.

Internet Explorer 6.0 geeft de referer weer zoals deze echt is, wat volgens mij logischer is. Vreemd.

En zo is het maar net.

dinsdag 23 maart 2004 20:46

Acties:

Osiris

Topicstarter

Of het een security-leak is weet ik niet, want zoveel wordt er volgens mij nou ook weer niet met de referer gedaan, maar lastig is het in ieder geval soms wél..

Kan dit ergens gemeld worden? Bugzilla zag ik je schrijven, daar eens even bij kijken