/c/ – Pufferüberlauf

Interessant.

>Opening the SVG file opens an empty Edge tab titled Process Monitor. This happens because SVG files on Windows are opened by Edge, even if the user has another browser set as their default.
Es geht nach Felixens Verständnis also darum, dass die SVG-Datei in den Download-Ordner heruntergeladen wurde (was durchaus bei Seitenaufruf automatisch passieren kann, Felix kennt es), und man die SVG-Datei dann nochmals extra öffnen muss.

Fragen:
*Wird der JavaScript-Kot aus der SVG-Datei auch ausgeführt, wenn der Brauser die SVG-Datei normal, eingebettet auf einer Webseite, anzeigt? Und damit meint Felix wirklich den JavaScript-Kot _in_ der SVG-Datei, nicht JavaScript-Kot auf der Seite, welcher z.B. die SVG-Elemente manipuliert.
*Warum darf die SVG-Datei, die lokal geöffnet wird, Anfragen ans Internet ausschicken? Lokal gespeicherte HTML-Dateien dürfen das auch nicht.

Hau ab! Ich wichse!

>>158572
Dafür gibt es gratis/libre Urlaub.

Genau aus dem Grund unterstützt der Diätkanal auch kein SVG >>109192.

>>158571
>Wird der JavaScript-Kot aus der SVG-Datei auch ausgeführt, wenn der Brauser die SVG-Datei normal, eingebettet auf einer Webseite, anzeigt?
Wenn als <img> eingebettet, dann glaube ich nicht. Wenn direkt als <svg> eingebettet, dann schon. Und wenn du das Bild als eigenständige Seite öffnest (z.B. in einem neuen Tab), dann wird der Kot natürlich auch ausgeführt.

>Und damit meint Felix wirklich den JavaScript-Kot _in_ der SVG-Datei, nicht JavaScript-Kot auf der Seite, welcher z.B. die SVG-Elemente manipuliert.
Selbstverständlich.

>Warum darf die SVG-Datei, die lokal geöffnet wird, Anfragen ans Internet ausschicken? Lokal gespeicherte HTML-Dateien dürfen das auch nicht.
Gute Frage. Zunächst mal wäre zu klären: Ist das denn überhaupt so? Soweit Felix weiß, dürfen Seiten aus dem Internetz zwar keine Verbindung zu Localhost oder zum lokalen Netzwerk oder gar zum lokalen Dateisystem aufbauen, aber umgekehrt gilt das (zumindest im Feuerfuchs) nicht unbedingt, sonst gäbe es diese Frage auf Reddit [0] wohl nicht. Andererseits scheint Chrom Cross-Origin-Requests von lokalen Seiten zu blocken [1], allerdings ist nicht klar, ob das nur für JS-initiierte Anfragen gilt, und ob es einen Unterschied gibt, ob es z.B. ein GET- oder ein POST-Request ist. Wie Edge das handhabt, konnte Felix nicht in Erfahrung bringen.

[0] https://old.reddit.com/r/firefox/comments/191tquz/is_there_a_way_to_block_network_access_from_local/
[1] https://stackoverflow.com/questions/42590625/posting-from-local-html-javascript-website-to-an-online-php-file

>>158574
Felix hat es gerade mal mit aktuellem Feuerfuchs ausprobiert:

*Lokale SVG-Datei öffnen: JavaScript wird ausgeführt
*Lokale HTML-Oatei mit SVG in img-Tag öffnen: JavaScript wird nicht ausgeführt
*Lokale HTML-Oatei mit SVG in svg-Tag öffnen: JavaScript wird ausgeführt
*Lokale HTML-Datei mit externem Bild oder JavaScript-Kot mit externen XHR-Request öffnen:
**Wenn Ziel-Servierer nicht Access-Control-Allow-Origin: * setzt:
>The resource at “example.org” was blocked due to its Cross-Origin-Resource-Policy header (or lack thereof). See https://developer.mozilla.org/docs/Web/HTTP/Cross-Origin_Resource_Policy_(CORP)#
**Wenn Ziel-Servierer Access-Control-Allow-Origin: * setzt: Externe Resource with geladen (auch XHR-Request funktioniert)

Belastend. Nun gut, also ist uMatrix auch für lokale HTML-Dateien notwendig.

>>158577
Das Filter-Menü in uMatrix ist einfach so viel besser als der minimalistische Abklatsch von uBO den Gorhill hingerotzt hat für die erweiterten Einstellungen. Schade, dass er es nicht weiterentwickelt.

>>158577
Wir halten fest:
- SVG war ein Fehler
- XML/XHTML war ein Fehler
- JS war ein Fehler

>>158579
Das gesamte WWW und seine Konsequenzen waren und sind eine Katastrophe für die Menschheit.
Sir Tim sollte dem IStGH zugeführt werden.

>>158577
ja, aber besser noch den ganzen Brausierer vom Zwischennetz trennen für lokale Dateien und Programme


>>158579
wenn SVG pöse, was machste dann, WMF?
ohnehin kann man dann den ganzen Linux-Desktop in die Tonne kippen

>>158581
https://lunduke.locals.com/post/5499910/myth-html-was-invented-by-tim-berners-lee

>>158592
HTML ist aber nur ein sehr kleiner Teilaspekt von dem, was damals neu war. Der wesentliche Unterschied war, dass solche Dokumente plötzlich weltweit instantan verfügbar waren und sich untereinander referenzieren konnten. Felix ist alt genug, um zuvor nur Telnet und FTP gekannt zu haben. Das WWW war damals schon eine Offenbarung.

>>158570
>This happens because SVG files on Windows are opened by Edge, even if the user has another browser set as their default.
Dann stell halt IrfanView als Default-Ansichts-Applikation für SVG ein ...

>>158579
>- SVG war ein Fehler
>- XML/XHTML war ein Fehler
Alles dieselbe Scheiße, daher: SGML, inklusive allem , was daraus folgte, war ein Fehler.

>- JS war ein Fehler
Nicht schön, aber es gab und gibt schlimmere Scriptsprachen. Das Problem ist eingebetteter Programmcode, der ohne Prüfungen ausgeführt wird. HTML & Co. wurden als Dokument-Formate eingeführt, nicht als Container und Launchplattform für "Web-Applikationen".

>>158581
Tim kann nichts dafür, was die Arschkrampen von Google und Alphabet aus seinen Ideen gemacht haben.

>>158570
>svg_code.png
Was es nicht alles gibt:
https://en.wikipedia.org/wiki/JSFuck

>>158637
BORN TO DIE
JS IS A FUCK
鬼神 Kill Em All 1989
I am trash man
410,757,864,530 DEAD CODERS

Javascript ist und bleibt die größte Moppelkotze.

>>156848
Fick dich du huan

node.js Kotende auf Selbstmordwache

SVGs jetzt auch in fake Portalen die die kolumbianische Regierung imitieren:
https://www.tomshardware.com/software/security-software/hackers-hide-malware-in-svg-files