<br><font size=2 face="sans-serif">Hi,</font>
<br><font size=2 face="sans-serif">Apologies if this is slightly off-topic
but I think those interested follow this list.</font>
<br><font size=2 face="sans-serif">Several blogs quote IBM as saying they
added support for httpOnly cookies in WebSphere last year.</font>
<br><font size=2 face="sans-serif">After trying and failing to get this
to work for session cookies, I've had confirmation from IBM that this does
not include cookies set server-side (including JSESSIONID).</font>
<br><font size=2 face="sans-serif">All it does is provide some sort of
support when the flag is set by the client, which as I understand it is
not the main point for XSS protection.</font>
<br><font size=2 face="sans-serif">So anyone keen to persuade them to do
this properly - feel free to have another go!</font>
<br><font size=2 face="sans-serif">Whether an ESAPI filter should pick
this up, or alternative methods (we're looking at an application firewall
rule) I'll leave to the experts to debate.</font>
<br><font size=2 face="sans-serif">Thanks and keep up the great work!<br>
Mungo Carstairs<br>
Senior Systems Developer<br>
Business Solutions<br>
Standard Life Employee Services Limited<br>
http://www.standardlife.com<br>
<br>
Tel: &nbsp; &nbsp; &nbsp; &nbsp;+44 (0)131 246 2785<br>
<br>
<br>
This e-mail is confidential and, if you are not the intended recipient,
please return it to us and do not retain or disclose it. We filter and
monitor e-mails in order to protect our system and the integrity, confidentiality
and availability of e-mails. We cannot guarantee that e-mails are risk
free and are not responsible for any related damage or unauthorised alteration
of e-mails by third parties after sending.<br>
<br>
For more information on Standard Life group, visit our website http://www.standardlife.com/<br>
<br>
Standard Life plc (SC286832), Standard Life Assurance Limited* (SC286833)
and Standard Life Employee Services Limited (SC271355) are all registered
in Scotland at Standard Life House, 30 Lothian Road, Edinburgh EH1 2DH.
*Authorised and regulated by the Financial Services Authority. 0131 225
2552. Calls may be recorded/monitored. Standard Life group includes Standard
Life plc and its subsidiaries.<br>
<br>
Please consider the environment. Think - before you print.</font>