-
Type: Bug
-
Resolution: Fixed
-
Priority: Major
-
Affects Version/s: 1.0.14
-
None
-
Environment:S2JSF(1.1.0 beta2 SNAPSHOT)
Teeda(1.0 beta4)
S2JSF(1.1.0 beta2 SNAPSHOT)とTeeda(1.0 beta4)を利用しています。
タイトルを動的に変えるために
<title m:value="#{foo.bar}" />
のようにしているのですが、foo.bar の値を「AAA>BBB」のように
セットして実行したところ、
<title>AAA>BBB</title>
でなく
<title>AAA>BBB</title>
のようにそのまま html ソースに出力されて
しまいました。
もしやと思って、foo.bar の値に
</title><script ...
をセットすると、記述したスクリプトが動いてしまいます。
他のタグはどうかと思って、ためしに <span> でもやってみましたが、
そちらは
</title><script
のように、変換されていました。
(検証に使った html とソースを添付します)
<title>タグは、意識してサニタイズしないといけないのでしょうか?
また、他にもそのようなタグがあるのでしょうか?