Le markup échapé est filtré par les lecteurs RSS ?

Je suis revenu sur le question, en cherchant sur Yahoo, des documents sur la sécurité et le RSS.

Et j'ai trouvé

ZDNet a écrit :
Mais comme tout véhicule de l'information sur le web, le format RSS peut aussi être abusé. Car il n'est finalement qu'un dialecte XML, qui permet de pointer vers des contenus HTML traditionnels. Il "embarque" les descriptions de ces derniers et fournit généralement un lien vers le contenu propre sur le site de son éditeur. C'est un format tellement souple qu'il permet également d'inclure, avec la description au format HTML, de nombreux objets, et en premier lieu des scripts. Autant de contenus interprétés dans le navigateur standard ou directement dans le lecteur.

Source : Les flux RSS posent des questions de sécurité (zdnet.fr)

Description au format HTML ? Bigre!

Je n'ai pourtant jamais vu la moindre mise en HTML dans mes RSS (normal, j'utilise Opera, voir plus loin) et la spécification RSS ne fait aucune mention d'un formatage HTML dans les éléments item/description.

C'est donc de bonne fois que j'ai toujours cru que le RSS ne diffusait que du texte brut.

Dans le doute, je teste, et j'ajoute du un formatage HTML dans un billet factice.
Résultat :
* Opera : affichage comme du texte brute (n'interprète pas le HTML, mais filtre - strip - le balisage)
* FireFox : même comportement que Opera
* Internet Explorer 7 : affiche le billet formaté en vertu du HTML transcrit avec échappement !
* Safari : comme Internet Explorer 7.

À lire les commentaires qui suivent l'article de « Les flux RSS posent des questions de sécurité », je ne suis pas le/la seul(e) surpris.

Imbolcus a écrit :
mais qu'est ce que c'est que ce delire ???
En quoi RSS est responsable de ces problemes ?
un syndicateur RSS fonctionne d'une maniere tres simple : il recupere du contenu sous forme XML (texte) et l'affiche avec une presentation particuliere... il n'y a pas d'interpretation qqconque de code ou de n'importe quoi, c'est justement au navigateur de faire ce boulot lorsque le lien contenu dans le flux est selectionne.

Et ce n'est pas la seule réaction du genre.

Pourtant encore plus bas, dans le message #5...

actusecu.info a écrit :
Un article RSS peut contenir du HTML, lequel sera interprété par le moteur de gestion HTML du poste client (MSIE dans notre cas). Si ce moteur est buggé, alors il y a un risque. CQFD.

Bon, éh bien il y a ceux qui savaient et ceux qui ne savaient pas.

Mais une question reste en suspend : d'où vient cette interprétation d'Internet Explorer 7 et Safari, sachant que la norme RSS n'introduit pas cette possibilité. Et pourtant ce doit être assez répandu, et pas spécifique à ces derniers, puisque les deux autres navigateurs testés, se font un devoir de filtrer, et savent donc que le cas peut se produire.

Z'en pensez quoi ?

Modifié par hibou57 (18 Apr 2009 - 15:41)