Cross-Site Scripting
Script inter-sites
Le script inter-sites, ou XSS, se produit lorsque des données contrôlées par l'attaquant s'exécutent comme du code de navigateur sur un site de confiance.
Un autre exemple
Un post de forum contient `<img alt="" onerror=…>`. Un modèle sûr l'insère comme texte, nettoie le petit ensemble autorisé de Markdown, bloque les URL nuisibles et applique CSP. Un test de régression vérifie les contextes HTML, attributs, URL, CSS et JavaScript séparément.
Parties principales
- 01source non fiable
- 02contexte de l'interpréteur et puits non sécurisé
- 03Limite d'encodage/sanitation
Utilisez-le lorsque
Encoder la sortie non fiable pour son contexte exact et utiliser des API DOM sûres. Si HTML est autorisé, nettoyez-le avec une liste blanche stricte et ajoutez CSP comme autre défense.
Ne l'utilisez pas lorsque
Une fonction d'échappement ne convient pas à tous les contextes. Les vérifications d'entrée ou CSP seules ne peuvent pas rendre tous les endroits non sécurisés sûrs.
Nom utilisé dans le code
contextual output encoding + safe sinks + HTML sanitization + CSP Avant d'expédier
Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target.
Outcome: Complete the task with Script inter-sites (Cross-Site Scripting). User context: Un post de forum contient `<img alt="" onerror=…>`. Un modèle sûr l'insère comme texte, nettoie le petit ensemble autorisé de Markdown, bloque les URL nuisibles et applique CSP. Un test de régression vérifie les contextes HTML, attributs, URL, CSS et JavaScript séparément. Risk or control to address: Script inter-sites (Cross-Site Scripting). Why it applies: Encoder la sortie non fiable pour son contexte exact et utiliser des API DOM sûres. Si HTML est autorisé, nettoyez-le avec une liste blanche stricte et ajoutez CSP comme autre défense. Classification boundary: Une fonction d'échappement ne convient pas à tous les contextes. Les vérifications d'entrée ou CSP seules ne peuvent pas rendre tous les endroits non sécurisés sûrs. Safety requirements: Test only in an isolated space with explicit permission. Use inert, harmless inputs. Protect secrets and personal data. Name the trust boundary and record the mitigation. Operational safeguards: Set up detection and logs that hide sensitive data. Name the incident owner. Define a safe failure mode and rollback before release. Acceptance criteria: A defensive regression test fails before the mitigation and passes after it. No real target, secret, or personal data is used. Monitoring and rollback are verified. Evidence and limits (evidence boundary): C'est officiel pour cette source. D'autres plateformes ou équipes peuvent utiliser le terme d'une autre manière. Unknowns to confirm: Authorized scope, affected assets, data class, threat actor, incident owner, and rollback limits.
Vérifiez cette demande
Review how Script inter-sites (Cross-Site Scripting) is used now. Definition: Le script inter-sites, ou XSS, se produit lorsque des données contrôlées par l'attaquant s'exécutent comme du code de navigateur sur un site de confiance. Release checks: Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target. Before changing code, list the evidence, gaps, severity, and the smallest safe fix.