Siteler arası betik çalıştırma (ARCH4101)

Anahtar java.security.xss · Önem error · Kategori security · CWE CWE-79

Güvenilmeyen veriyi kaçış yapmadan HTML çıktısına yazmak, saldırganların kurbanın tarayıcısında betik çalıştırmasına (XSS) olanak tanır ve oturum çalmaya veya sayfa tahrifine yol açar.

Hatalı

String name = request.getParameter("name");
response.getWriter().write("<p>Hello " + name + "</p>");

Doğru

String name = request.getParameter("name");
String safe = HtmlUtils.htmlEscape(name);
response.getWriter().write("<p>Hello " + safe + "</p>");

Düzeltme

Tüm güvenilmeyen veriyi HTML’e yazmadan önce bağlama uygun şekilde kaçış yapın veya otomatik kaçışlı şablon motorları kullanın.