cfform タグでaction属性を指定しない場合の動作の変更について

ColdFusion 9.0.2, ColdFusion 10 または、セキュリティアップデートを適用した ColdFusion 8.0.x, 9.0.0, 9.0.1の環境にて、<cfform>タグでaction属性を指定しない場合の動作が以前と異なります。

この動作変更は、2011年12月に公開されたセキュリティアップデート（APSB11-29）の修正によるもので、<cfform>タグを使用する際にaction属性を指定しない自己送信フォームとした時の処理において確認されたセキュリティ問題への対応となります。

<cfform>タグに action属性を指定しない場合の動作

セキュリティアップデートを適用していない ColdFusion 8.0.x, 9.0.0, 9.0.1
- 結果として生成される<form>タグにaction属性が自動生成され、自己送信フォーム用のURLが付加されます。
ColdFusion 9.0.2、および、セキュリティアップデートを適用したColdFusion 8.0.x, 9.0.0, 9.0.1
- 結果として生成される<form>タグに action属性は自動生成されません。
ColdFusion 10
- 結果として生成される<form>タグに、エンコードされたURLが付加されたaction属性が自動生成されます。

<form>タグにaction属性が付加されていない場合の動作はブラウザに依存するため、開発元では、自己送信フォームの場合にも<cfform>タグにはaction属性を省略しないで記載する事を推奨しています。ただ、何らかの原因によって以前の動作に戻したい場合には、JVM にフラグを追加して以前の動作に戻します。

※以前の動作に戻すということは、潜在的なセキュリティリスクを含むということになります。設定を戻す場合には、その影響を受けないために、全ての<cfform>タグにaction属性を指定するなどの対策を行って下さい。

ColdFusion 9 の場合
- JVM引数に追加するフラグについては下記の Note 2に記載されている
  " -Dcoldfusion.generateformaction=true " を指定します。
  http://helpx.adobe.com/coldfusion/kb/coldfusion-security-hotfix-1.html
ColdFusion 10 の場合
- JVM引数に追加するフラグについては下記のColdFusionオンラインマニュアルに記載されている
  " -Dcoldfusion.encodeformaction=false " を指定します。
  http://help.adobe.com/en_US/ColdFusion/10.0/Developing/WSe61e35da8d3185183e145c0d1353e31f559-7ff7.html
  
  ※日本語のページでは、製品リリース前の最終の修正が加えられた前の情報（ColdFusion 9の場合と同じ -Dcoldfusion.generateformaction）が記載されていますが、この設定では動作しないため注意して下さい。
  http://help.adobe.com/ja_JP/ColdFusion/10.0/Developing/WSe61e35da8d3185183e145c0d1353e31f559-7ff7.html

記事公開日：2013年05月31日
最終更新日：2013年06月03日

Sample Modal Window

This is just a sample…