Cross-Site Scripting
Cross-Site Scripting
Cross-Site Scripting, ou XSS, acontece quando dados controlados por um atacante são executados como código no navegador em um site de confiança.
Outro exemplo
Uma postagem de fórum contém `<img alt="" onerror=…>`. Um modelo seguro insere isso como texto, limpa o pequeno conjunto permitido de Markdown, bloqueia URLs prejudiciais e aplica CSP. Um teste de regressão verifica contextos de HTML, atributo, URL, CSS e JavaScript separadamente.
Partes principais
- 01Fonte não confiável
- 02contexto do interpretador e sink inseguro
- 03Limite de codificação/sanitização
Use-o quando
Codifique a saída não confiável para seu contexto exato e use APIs DOM seguras. Se HTML for permitido, limpe com uma lista de permissões rigorosa e adicione CSP como outra defesa.
Não o use quando
Uma função de escape não se ajusta a todos os contextos. Verificações de entrada ou CSP sozinhos não podem tornar todos os locais inseguros seguros.
Nome usado no código
contextual output encoding + safe sinks + HTML sanitization + CSP Antes de lançar
Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target.
Outcome: Complete the task with Cross-Site Scripting (Cross-Site Scripting). User context: Uma postagem de fórum contém `<img alt="" onerror=…>`. Um modelo seguro insere isso como texto, limpa o pequeno conjunto permitido de Markdown, bloqueia URLs prejudiciais e aplica CSP. Um teste de regressão verifica contextos de HTML, atributo, URL, CSS e JavaScript separadamente. Risk or control to address: Cross-Site Scripting (Cross-Site Scripting). Why it applies: Codifique a saída não confiável para seu contexto exato e use APIs DOM seguras. Se HTML for permitido, limpe com uma lista de permissões rigorosa e adicione CSP como outra defesa. Classification boundary: Uma função de escape não se ajusta a todos os contextos. Verificações de entrada ou CSP sozinhos não podem tornar todos os locais inseguros seguros. Safety requirements: Test only in an isolated space with explicit permission. Use inert, harmless inputs. Protect secrets and personal data. Name the trust boundary and record the mitigation. Operational safeguards: Set up detection and logs that hide sensitive data. Name the incident owner. Define a safe failure mode and rollback before release. Acceptance criteria: A defensive regression test fails before the mitigation and passes after it. No real target, secret, or personal data is used. Monitoring and rollback are verified. Evidence and limits (evidence boundary): É oficial para essa fonte. Outras plataformas ou equipes podem usar o termo de outra maneira. Unknowns to confirm: Authorized scope, affected assets, data class, threat actor, incident owner, and rollback limits.
Conferir este pedido
Review how Cross-Site Scripting (Cross-Site Scripting) is used now. Definition: Cross-Site Scripting, ou XSS, acontece quando dados controlados por um atacante são executados como código no navegador em um site de confiança. Release checks: Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target. Before changing code, list the evidence, gaps, severity, and the smallest safe fix.