最近、Firebug を介して httponly に設定されている Cookie の値を変更できることに気付きました。私が読んだことから、 httponly フラグは、サポートしているブラウザーで、あらゆる種類のクライアント側スクリプトがそのような Cookie の値にアクセスしたり変更したりするのを防ぐ必要があります。ただし、Cookie を httponly として作成し、新しい Cookies パネルで Firebug 1.10 Beta を使用すると、実際にこの Cookie の値を変更できます。これは、リクエストを傍受したり、Cookie/Web サイト情報をフィードバックするスパイウェアをユーザーのコンピューターに侵入させたりした人は、セッション関連の Cookie を元のユーザーのものと一致するように変更することにより、ユーザーとしてログインしたサイトにアクセスできることを意味します。
数時間前にFirebug の Google グループでこれを提起しようとしましたが、まだ許可されていません。これが Firebug の重大なセキュリティ上の欠陥であると考える人は他にいますか? Chrome または IE 開発ツールにも存在する可能性がありますが、確認していません。