Sebsauvage: "EDIT: Si vous voulez patcher Shaarli tout de suite, dans la fonction getToken() modifiez la ligne:
$rnd = sha1(uniqid('',true).'_'.mtrand());
en:
$rnd = sha1(uniqid('',true).''.mt_rand().'####CE QUE VOUS VOULEZ, ÇA PEUT MÊME ÊTRE ASSEZ LONG####');"

DONE !

j'ai mis en place la correction sans soucis, avec un truc "Hash"ement long :x et bonne chance pour le trouver dans un dictionnaire...

Fréd.

une bonne page qui donne des références sur les exploits XSS

via @sebsauvage ;)

et j'ai fait une copie ici pour ne pas la perdre : http://shaarli.memiks.fr/files/postxss.html

et ça aussi : http://stackoverflow.com/questions/3146798/why-do-people-put-code-like-throw-1-dont-be-evil-and-for-in-front-of