Új hozzászólás Aktív témák

• martonx veterán

  #9055

  #9053 nevemfel

  2021-12-19 09:39:05

  Új Válasz

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  

  martonx

  veterán

  #9053 nevemfel

  #9053 nevemfel

  Igazad van, az innerHTML sem biztonságos:

  There is one built-in safeguard in place, though. Just injecting a script element won’t expose you to attacks, because the section of the DOM you’re injecting into has already been parsed and run.
  
  // This won't execute
var div = document.querySelector('#some-div');
div.innerHTML = '<script>alert("XSS Attack");</script>';

  JavaScript that runs at a later time, though, will.

  // This WILL run
div.innerHTML = '<script deferred>alert("XSS Attack");</script>';
// This will, too
div.innerHTML = '<img src=x onerror="alert(\'XSS Attack\')">';

  [link]

  Ez a megoldás viszont ígéretesnek tűnik:

  If the third-party content is allowed to contain markup, a helper library like DOMPurify will remove any markup that’s not part of a secure whitelist before injecting it.

  Hja, ezért is mondtam, hogy a checkmarx-nak igaza van, és más megoldás nincs, mint a régi kódot újraírni, vagy a checkmarx-ot rendesen felparaméterezni.

Új hozzászólás Aktív témák