Cross-Site Scripting
Cross-Site Scripting
Cross-Site Scripting, oder XSS, tritt auf, wenn angreiferkontrollierte Daten als Browser-Code auf einer vertrauenswürdigen Seite ausgeführt werden.
Ein weiteres Beispiel
Ein Forenbeitrag enthält `<img alt="" onerror=…>`. Eine sichere Vorlage fügt ihn als Text ein, bereinigt die kleine erlaubte Menge von Markdown, blockiert schädliche URLs und erzwingt CSP. Ein Regressions-Test überprüft HTML-, Attribut-, URL-, CSS- und JavaScript-Kontexte separat.
Hauptteile
- 01Nicht vertrauenswürdige Quelle
- 02Interpreter-Kontext und unsicherer Zielort
- 03Kodierungs-/Sanisierungsgrenze
Verwenden Sie es, wenn
Kodieren Sie nicht vertrauenswürdige Ausgaben für ihren genauen Kontext und verwenden Sie sichere DOM-APIs. Wenn HTML erlaubt ist, bereinigen Sie es mit einer strikten Positivliste und fügen Sie CSP als weitere Schutzmaßnahme hinzu.
Nutze es nicht, wenn
Eine Escape-Funktion passt nicht in jeden Kontext. Eingabeprüfungen oder CSP allein können nicht jeden unsicheren Ort sicher machen.
In Code verwendeter Name
contextual output encoding + safe sinks + HTML sanitization + CSP Vor dem Ausliefern
Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target.
Outcome: Complete the task with Cross-Site Scripting (Cross-Site Scripting). User context: Ein Forenbeitrag enthält `<img alt="" onerror=…>`. Eine sichere Vorlage fügt ihn als Text ein, bereinigt die kleine erlaubte Menge von Markdown, blockiert schädliche URLs und erzwingt CSP. Ein Regressions-Test überprüft HTML-, Attribut-, URL-, CSS- und JavaScript-Kontexte separat. Risk or control to address: Cross-Site Scripting (Cross-Site Scripting). Why it applies: Kodieren Sie nicht vertrauenswürdige Ausgaben für ihren genauen Kontext und verwenden Sie sichere DOM-APIs. Wenn HTML erlaubt ist, bereinigen Sie es mit einer strikten Positivliste und fügen Sie CSP als weitere Schutzmaßnahme hinzu. Classification boundary: Eine Escape-Funktion passt nicht in jeden Kontext. Eingabeprüfungen oder CSP allein können nicht jeden unsicheren Ort sicher machen. Safety requirements: Test only in an isolated space with explicit permission. Use inert, harmless inputs. Protect secrets and personal data. Name the trust boundary and record the mitigation. Operational safeguards: Set up detection and logs that hide sensitive data. Name the incident owner. Define a safe failure mode and rollback before release. Acceptance criteria: A defensive regression test fails before the mitigation and passes after it. No real target, secret, or personal data is used. Monitoring and rollback are verified. Evidence and limits (evidence boundary): Es ist offiziell für diese Quelle. Andere Plattformen oder Teams können den Begriff auf andere Weise verwenden. Unknowns to confirm: Authorized scope, affected assets, data class, threat actor, incident owner, and rollback limits.
Diese Anfrage prüfen
Review how Cross-Site Scripting (Cross-Site Scripting) is used now. Definition: Cross-Site Scripting, oder XSS, tritt auf, wenn angreiferkontrollierte Daten als Browser-Code auf einer vertrauenswürdigen Seite ausgeführt werden. Release checks: Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target. Before changing code, list the evidence, gaps, severity, and the smallest safe fix.