Siteler arası betik çalıştırma (ARCH7101)

Anahtar php.security.xss · Önem error · Kategori security · CWE CWE-79

Güvenilmeyen veriyi kaçış uygulamadan HTML çıktısına yazmak, saldırganların kurbanın tarayıcısında betik çalıştırmasına olanak tanır. Çıktıyı bağlama uygun şekilde kodlamak bunu engeller.

Hatalı

<?php
$name = $_GET['name'];
echo "<h1>Merhaba $name</h1>";

Doğru

<?php
$name = $_GET['name'];
$safe = htmlspecialchars($name, ENT_QUOTES, 'UTF-8');
echo "<h1>Merhaba $safe</h1>";

Düzeltme

Güvenilmeyen veriyi HTML’e yazmadan önce htmlspecialchars() ile bağlama uygun olarak kodlayın.