Cross-Site Scripting
Secuencias de comandos entre sitios
La secuencia de comandos entre sitios, o XSS, ocurre cuando datos controlados por un atacante se ejecutan como código del navegador en un sitio confiable.
Otro ejemplo
Una publicación en un foro contiene `<img alt="" onerror=…>`. Una plantilla segura lo inserta como texto, limpia el pequeño conjunto permitido de Markdown, bloquea URL dañinas y aplica CSP. Una prueba de regresión verifica los contextos de HTML, atributo, URL, CSS y JavaScript por separado.
Partes principales
- 01Fuente no confiable
- 02contexto del intérprete y sumidero inseguro
- 03Límite de codificación/saneamiento
Úsalo cuando
Codificar la salida no confiable para su contexto exacto y usar API de DOM seguras. Si se permite HTML, limpiarlo con una lista de permitidos estricta y agregar CSP como otra medida de defensa.
No lo uses cuando
Una función de escape no encaja en todos los contextos. Las comprobaciones de entrada o solo CSP no pueden hacer que cada lugar inseguro sea seguro.
Nombre usado en código
contextual output encoding + safe sinks + HTML sanitization + CSP Antes de lanzarlo
Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target.
Outcome: Complete the task with Secuencias de comandos entre sitios (Cross-Site Scripting). User context: Una publicación en un foro contiene `<img alt="" onerror=…>`. Una plantilla segura lo inserta como texto, limpia el pequeño conjunto permitido de Markdown, bloquea URL dañinas y aplica CSP. Una prueba de regresión verifica los contextos de HTML, atributo, URL, CSS y JavaScript por separado. Risk or control to address: Secuencias de comandos entre sitios (Cross-Site Scripting). Why it applies: Codificar la salida no confiable para su contexto exacto y usar API de DOM seguras. Si se permite HTML, limpiarlo con una lista de permitidos estricta y agregar CSP como otra medida de defensa. Classification boundary: Una función de escape no encaja en todos los contextos. Las comprobaciones de entrada o solo CSP no pueden hacer que cada lugar inseguro sea seguro. Safety requirements: Test only in an isolated space with explicit permission. Use inert, harmless inputs. Protect secrets and personal data. Name the trust boundary and record the mitigation. Operational safeguards: Set up detection and logs that hide sensitive data. Name the incident owner. Define a safe failure mode and rollback before release. Acceptance criteria: A defensive regression test fails before the mitigation and passes after it. No real target, secret, or personal data is used. Monitoring and rollback are verified. Evidence and limits (evidence boundary): Es oficial para esa fuente. Otras plataformas o equipos pueden usar el término de otra manera. Unknowns to confirm: Authorized scope, affected assets, data class, threat actor, incident owner, and rollback limits.
Revisa esta petición
Review how Secuencias de comandos entre sitios (Cross-Site Scripting) is used now. Definition: La secuencia de comandos entre sitios, o XSS, ocurre cuando datos controlados por un atacante se ejecutan como código del navegador en un sitio confiable. Release checks: Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target. Before changing code, list the evidence, gaps, severity, and the smallest safe fix.