Cross-site scripting (ARCH319)
Anahtar dotnet.security.xss · Önem error · Kategori security · CWE CWE-79
Kullanıcı kontrollü içeriği kodlamadan render etmek saldırganın script enjekte etmesine (XSS) olanak tanır. Razor’ın varsayılan kodlamasına izin verin.
Hatalı
Bölüm başlığı “Hatalı”@Html.Raw(Model.UserComment)@Model.UserComment @* Razor HTML-encodes by default *@Düzeltme
Bölüm başlığı “Düzeltme”Html.Raw/HtmlString’i kaldırın ve varsayılan kodlamaya güvenin; gerçekten gerekiyorsa girdiyi bir HTML sanitizer’dan geçirin.