ja, den fehler mit den bildern hab ich wieder behoben.

ich hab nun die Liste stark erweitert. leider sind weit mehr Tags/Attribute gefährlich als man gemeinhin vermuten würde, daher wäre eine Blocklist zu unsicher. Z.B. ist auch das style-attribute gefährlich, da man damit beliebigen JavaScript ausführen lassen kann.

das problem betrifft, die möglichkeit über ein style-tag javascript aufzurufen (macht der ie!) -> style="javascript:alert('hello')", und da haben wir noch keine sichere methode gefunden dies zu verhindern. In vergangenen Angriffen (nicht hier) ging das so weit, dass das wort "javascript" nicht einmal als zusammenhängendes wort mehr notwendig war:
style="java
script:alert('hello')",
wurde auch interpretiert. und da wir nicht sicher sind, was der ie noch alles interpretiert, mussten wir einstweilen das style-tag komplett verbieten.

erstens bin ich nach wie vor überrascht, wie schnell ihr reagiert (OK, langsam sollte ich mich daran gewöhnt haben, trotzdem...). danke mal dafür und für @hreflang, ohne das, so bin ich überzeugt, die welt einfach nicht sein kann ;-)

zur sache: mit @style habt ihr mich überzeugt - gräßliche sache das.
trotzdem: was ist mit thead, tfoot und tbody? mit colgroup?
ist @class auch böse? (ist nämlich auch nirgendwo drin - und damit könnt ich zumindest das fehlende @style ausgleichen.)

ich hab einfach die befürchtung, daß ich hinkünftig alle 2 wochen irgend ein tag/attribut entdecke, das ich unbedingt haben will und das nicht geht, obwohls vielleicht sicherheitstechnisch gar nicht relevant wär. wenn es für euch OK ist, daß ich dann hergeh und sag „bitte zulassen!“, ihr überprüft es und schaltet es frei, dann isses ja fein. mir kommt diese vorgehensweise halt nur sehr lästig vor - also im sinne von „ich fall euch damit auf dauer lästig“ ;-)

onmouseover="status='TEXT';return true;

womit die Statuszeile verändert wird (in Den Dschungeln tauchen dort statt der Linknamen Zitate auf: das ist für die Äshetik grundlegend).

Wird das a u c h wieder gehen (wie das nötige 'u')?

Danke für Nachricht im voraus.
ANH

unabsichtlich natürlich. funktioniert nun wieder.

Das hätte ich auch gerne wieder. Was ist gefährlich daran?

count my vote :)

Ich probiere hier jetzt die ganze Zeit mit diesem Problem herum, wie ich trotz der Verbotsliste Videos in meinen Blog einbinden kann - und musste gerade leider feststellen, dass jetzt auch aus bereits publizierten Stories die tags herausgestrichen werden. Kurz: mein Blog wird gerade zerschossen. Ich finde das ganze superunglücklich!

tut mir leid wegen der probleme. wir sind dabei eine lösung zu finden, welche es euch erlaubt wieder die gewohnten Tags zu verwenden. bitte noch um etwas geduld.

Ich gedulde mich gerne. Toll wäre aber eine kurze Einschätzung, wann tags wie embed und object wieder funktionieren werden. In ein paar Stunden oder ein paar Tagen? Oder ist das ein langfristiges Problem?

(Sorry, dass ich so hartnäckig nachfrage, aber mein Blog ist durch das Downgrade schlicht und einfach funktionlos geworden. Macht mich schon etwas nervös.)

Solidarität!

Finde die Änderungen eher negativ, trotz des Sicherheitsaspektes. Es schränkt die Gestaltung schon sehr ein, was ich persönliche früher als Pluspunkt für twoday gesehen hatte, als ich mir die Überlegung stellte, ein eigenes System auf meinem Wespace aufzuziehen oder zu einem Anbieter zu gehen. Letzeres schien mit um einiges komfortabler - das System läuft schon und ich brauche mich nur um Gestaltung und Inhalt zu kümmern - und so landete ich bei twoday. Durch die Einschränkungen wird ein eigenes Weblog wieder sympatischer :(

Nachtrag: Achja, ich komme nimmer in mein Layout Untermenü - Error in Application - schon seit Stunden... *schnüff*

Dein „Aber nunja...es soll ja für unsere Sicherheit sein“ ist, wenn ich die Sache richtig verstanden hab, nicht so ganz korrekt. Für Deine eigene Sicherheit bist weiterhin Du allein verantwortlich, und die twoday-Betreiber hätten nicht die geringste Veranlassung, irgendwelchen Code zu blocken, selbst wenn damit Dein Bankkonto geplündert wird :-). (Ansonsten müßte ja jeder Anbieter von Webspace nur noch filtern und blocken.)

Es geht eher um das Funktionieren von twoday.net als Gesamtsystem (ich würde hier glatt das Wort „Community“ verwenden, wenn ich’s nicht so sehr verabscheuen tät’ *g*): Du bist hier als User eingeloggt und kannst daher unter Deiner User-ID gewisse Aktionen auf twoday setzen. Für twoday besonders ärgerlich sind nun Bösartigkeiten, die genau das ausnutzen: Ohne Dein Wissen mit Deiner User-ID irgendwas anstellen. ZB fremde Blogs kommentieren oder Dein eigenes Blog mit einem Hakenkreuz als Logo versehen…

Das Unterdrücken einzelner Tags sowie das Sperren von JavaScript sind Sofortmaßnahmen, die ein verantwortungsbewußter Admin nun mal setzen muß. Eine saubere Lösung kann IMHO auf Dauer aber nur serverseitig passieren. Was weiß ich, vor jedem Schreibzugriff nochmal identifizieren und Sicherheitsfrage beantworten. Oder Admin- und Standarduser trennen und dem Admin das Browsen in Blogs verbieten. Ich kenn mich da nicht so aus, jedenfalls ist eine Lösung gefragt, die das Problem an der Wurzel bekämpft.

...aber dennoch bleibt es ein ästhetisches Risko: Allenfalls Hyperlinks gehören aus Usability-Gründen unterstrichen, aber sonst nix. Die Unterstreicherei ist ein häßlicher Notbehelf aus der verblassenden Schreibmaschinenzeit, als man keine Alternativen zur Textauszeichnung hatte. Schon wegen des »Absäbelns« von Unterlängen bei »qgpjy,;« sollte man sich des unschönen Unterstreichens enthalten und andere Formen der Hervorhebung wählen (Schriftgröße, Fett-Auszeichnung)...

...trotzdem würde ich gerne selbst entscheiden, ob ich mein Blog verhunze oder nicht. Also: Gebt die tags frei!

ich verstehe nur Bahnhof würde mich aber mal interessieren um was es hier geht kann mir jemand das erklären????
Biiiiiiiiiiitte

wZQzSqRlAK AujiSDtzbje [URL=http://amanvexwths.co m/]fFjuyohyQYe[/URL] [weiter]