[1] [CITE[I'm not a Klingon : Best Fit in WideCharToMultiByte and System.Text.Encoding Should be Avoided]] ([[名無しさん]] [WEAK[2006-10-27 00:05:49 +00:00]]) [2] [CITE[gmane.ietf.charsets]] ([[名無しさん]] [WEAK[2006-10-27 00:06:44 +00:00]]) - [8] [CITE@en[WorstFit: Unveiling Hidden Transformers in Windows ANSI! | Orange Tsai]], [TIME[2025-01-10T18:29:29.000Z]], [TIME[2025-01-11T11:44:32.440Z]] -[3] [CITE@ja[XユーザーのTorishima / INTPさん: 「Windows の Win32 ANSI API (末尾に A がつくやつ) が非 Unicode を CP932 や CP1252 に変換する際「見た目が似てる ASCII 範囲の文字」に暗黙的に変換する仕様を突くと引数のエスケープを突破してコマンドインジェクションし放題、という最悪レベルの脆弱性らしい 終わりや https://t.co/fVbczq1YsN」 / X]], [TIME[16時間][2025-01-10T19:13:09.000Z]], [TIME[2025-01-11T11:23:42.000Z]] - [7] [CITE@ja[XユーザーのTorishima / INTPさん: 「日本語圏 (CP932) では発生しないらしいが、WorstFit の脆弱性を悪用すると、CP1252 環境だと Python 3.5 以下の subprocess .run() で wget.exe を呼び出してる場合、全角引用符を使ってエスケープをバイパスして半角引用符に変更して新たな引数を追加したりができたりしちゃうそうな https://t.co/hAwSV6NYrA」 / X]], [TIME[午前4:41 · 2025年1月11日][2025-01-10T19:41:31.000Z]], [TIME[2025-01-11T11:23:42.000Z]] -[6] [CITE@ja[XユーザーのStudio_NANDさん: 「@izutorishima 詳しく読んでないけど、きょうびのアプリはUnicodeビルドで作成するから、呼び出すのは~Wだからええんでないの?」 / X]], [TIME[午前7:42 · 2025年1月11日][2025-01-10T22:42:51.000Z]], [TIME[2025-01-11T11:23:42.000Z]] -- [4] [CITE@ja[XユーザーのStudio_NANDさん: 「@izutorishima ちなみに、Unicodeビルドの場合は、main()ではなく、wmain()で、コマンドライン引数もUnicode文字列で渡されてきます。 _tmain マクロとTCHAR マクロで書いとけば、ビルド構成の指定で、SJIS(MBCS)/Unicodeどちらでもコンパイルできます。 https://t.co/Jh0dii3VVa」 / X]], [TIME[午前8:16 · 2025年1月11日][2025-01-10T23:16:28.000Z]], [TIME[2025-01-11T11:23:42.000Z]] -- [5] [CITE@ja[XユーザーのStudio_NANDさん: 「@izutorishima 気になるのは、CP932(SJIS)で開いているコマンドプロンプトからUnicodeアプリを起動した場合、Unicodeアプリに渡すUnicodeの引数文字列生成に、SJIS→Unicode変換が呼ばれると思いますが、キーボードからコマンドプロンプトに入力できるのはSJISかASCIIに限られるはずなので、問題ないかと。」 / X]], [TIME[午前8:20 · 2025年1月11日][2025-01-10T23:20:57.000Z]], [TIME[2025-01-11T11:23:42.000Z]]