Siteler arası betik çalıştırma (ARCH6101)
Anahtar ruby.security.xss · Önem error · Kategori security · CWE CWE-79
Güvenilmeyen veriyi kaçış uygulamadan HTML’e yazmak (raw çıktı, otomatik kaçışı kapatma), saldırganın kurbanın tarayıcısında betik çalıştırmasına olanak tanır.
Hatalı
Bölüm başlığı “Hatalı”<div><%= raw params[:comment] %></div><div><%= params[:comment] %></div>Düzeltme
Bölüm başlığı “Düzeltme”Otomatik kaçışı açık bırakın; raw/html_safe kullanmaktan kaçının ve gerekiyorsa içeriği sanitize edin.