남이 준 기사 제목에 숨은 글자가 들어올 수 있던 것

기사 제목은 바깥 RSS에서 그대로 옵니다. 앱이 만든 값이 아닙니다. 그리고 이 앱은 RSS 주소를 직접 넣으실 수 있어서 「기본 매체만 믿으면 된다」로 끝나지 않습니다. XML에는 글자를 숫자로 적는 방법이 있고 앱이 그것을 진짜 글자로 되살리는데, 그 문으로 눈에 보이지 않는 글자가 들어올 수 있었습니다. 막겠습니다.

세 가지를 막았습니다. ①글자 순서를 뒤집는 글자 — 제목이 화면에서 다른 말로 읽히게 만들 수 있습니다. ②폭 없는 공백 — 눈에 안 보이면서 글자 수만 늘려, 같은 제목이 서로 다른 것처럼 보입니다. ③제어 문자 — 줄바꿈이 섞이면 한 줄짜리 칸이 깨집니다. 제목·분류·주소가 모두 같은 문을 지나갑니다.

뜻이 있는 글자는 살립니다 — 가족 이모지를 만드는 붙임 글자는 건드리지 않습니다(지우면 사람이 넷으로 흩어집니다). 지우는 것과 공백으로 바꾸는 것도 갈랐습니다: 서식 글자는 지우고(공백을 넣으면 낱말이 갈라집니다) 제어 문자는 공백으로 바꿉니다(지우면 두 낱말이 붙습니다). 검사 여섯을 붙였고, 걸러내기를 일부러 빼서 실제로 실패하는 것도 확인했습니다.

이 판이 곧 보안 손질입니다. 규칙 자체는 이미 있었는데 자료가 들어오는 문에만 없었습니다 — 저희는 소스 파일의 제어 문자를 진작 막고 있었습니다. 기사 주소는 예전부터 스킴 허용 목록(http·https)으로 막고 있어 이번 글자로 우회되지 않는 것도 함께 확인했습니다. 통신·저장·권한에는 변화가 없습니다.

v3.29.71로 배포했습니다. 보이시던 화면은 달라지지 않습니다. 앱을 열어 두시면 업데이트 알림이 뜹니다.