Sageの脆弱性の話を見て

malaさんトコで見た。開発者の姿勢とかそんな話をしたいわけじゃなくて、fubのRSSバーにSageを真似た「タブで表示」という機能があるので気になる。ただ、別にXMLにスクリプトを埋め込んでもfubではスクリプトは実行されない。スクリプトをオフにしているわけではなく、CDATAセクションだろうがなんだろうがタグは除去される。タグをそのまま表示する気はないので、InnerXmlではなくてInnerTextを使っているというだけの話なんだけど。
ローカルHTMLを開く機能はこれと前回開いていたときのリスト用とあるが、念のため色々オフにしておいたほうが無難なのかなあ。どっちもリンク先は新しいタブで開くようになっているしさほど問題ではない。ただ世の中にはお気に入りを新規タブで開かない設定の人とかもいるので、そういう人が文句言うだろうなあ。
とりあえず心配な人はURLマッチングで「file://*」をガチガチに設定しておくのも手かと。IEもそうだけどローカルファイルでスクリプト使う時にちょっとめんどくさいけど。