CakePHPのHtmlHelper::textareaをそのまま使うとXSSができる

echo $html->textarea('A/text', array('rows' => '5', 'cols' => '60'));

としてて、$this->data['A']['text']に何も処理を施していなかった場合、

</textarea><script>alert('XSS')</script><textarea>

で簡単にXSS可能。なんじゃこりゃ。

対策は、例えばこんな感じか。

echo $html->textarea('A/text', array('rows' => '5', 'cols' => '60', 'value' => $html->tagValue('A/text', true)));

1.1.19.6305で確認。くそぷーだなCakePHP。死ね。