Hola!!

Verán, ando haciendo un BBCode, pero descubrí un XSS en un sitio (quien lo quiera por MP, para no hacer spam) en el que había cientos de XSS... entré a ver si alguno afectaba a mi sistema y sí, hay uno que me es imposible solucionar.

Tengo esto para los links (que es donde hay XSS) :
/\[url=(.+)\](.+)\[\/url]/Usi

Si se fijan, con poner:
[url]java script:alert(/xss/);[/url]
(El espacio es un tab, no un espacio normal)

Como bien saben, en HTML los espacios, para que se vean se han de convertir a  , y aprovechando eso, funciona el XSS.

Me gustaría encontrar algún modo de solucionar el problema con las expresiones regulares y sin usar urlencode() o parecidos, ya que necesito hacerlo con expresiones regulares sí o sí.

Saludos.

Reemplaza "fulanito" por el usuario al mostrar, sólo era un ejemplo.
 Sí, me he leído las normas del foro y dice que no está permitido que pidan códigos, pero dice que no está prohibido que los den siempre y cuando los expliquen, cosa que hice en los comentarios del mismo código; yo no hice nada malo aunque puede que miztikz sí y además esto es trabajo de los moderadores, no vengas a fastidiar el foro.

Lo de abajo era para miztikz xD.
Y no vengo a fastidiar, es simplemente esto:

Y la 2da pregunta me podrían dejar el código en php plz.

Lo dije por eso... si tu das el código y eso no va contra las normas, él pide código y eso ya sí que va contra las normas... lo dijiste tu mismo.

Aquí
tienes más
información sobre
lo que
te recomendaron
más arriba.

------------------------------
K+ para SoyJoaquin

Espero que no sea porque te di el código del ejemplo sino porque entendiste como hacerlo!

Y gracias por el karma.

grax a martin k+

Gracias
PD: Para más información sobre error_reporting, entra aquí.

Pon esto al principio del archivo:

<?php
error_reporting(E_ALL & ~E_NOTICE);
?>


Listo, problema solucionado

Haz otro post, son las normas.

A mi me parece que está bien en sintaxis :/
Ahora, el live() no tiene por qué estar dentro de un setInterval, ya que para eso es live() y no bind()... aquí te dejo lo que yo haría:
<script src="http://code.jquery.com/jquery-latest.js"></script>
<script>
$('.replybutton').live('click',function(){ // handler
$('.discussion').fadeOut().load('recent.php').fadeIn();
}
var auto_refresh = setInterval(function(){ // simular un click cada x tiempo para actualizar
$('.replybutton').click();
}, 10000);
});
</script>