Kapatılmış Otomatik Kaçış (ARCH4134)

Anahtar java.security.disabled-auto-escape · Önem warning · Kategori security · CWE CWE-79

Şablon motorunda otomatik HTML kaçışının kapatılması, render edilen tüm çıktı için varsayılan XSS korumasını kaldırır. Otomatik kaçışı açık bırakın ve yalnızca güvenilir içeriği seçici biçimde işaretleyin.

Hatalı

Configuration cfg = new Configuration(Configuration.VERSION_2_3_32);
cfg.setOutputFormat(PlainTextOutputFormat.INSTANCE); // kaçış kapalı
Template t = cfg.getTemplate("profile.ftl");

Doğru

Configuration cfg = new Configuration(Configuration.VERSION_2_3_32);
cfg.setOutputFormat(HTMLOutputFormat.INSTANCE); // otomatik HTML kaçışı
Template t = cfg.getTemplate("profile.ftl");

Düzeltme

Şablon motorunda otomatik HTML kaçışını açık bırakın; ham çıktıyı yalnızca güvenilir veride seçici kullanın.