Siteler arası betik çalıştırma (ARCH9101)

Anahtar swift.security.xss · Önem error · Kategori security · CWE CWE-79

Interpolasyonlu veriyle beslenen WKWebView alıcılarını (evaluateJavaScript, loadHTMLString) işaretler.

Hatalı

webView.evaluateJavaScript("showUser('\(name)')")

Doğru

let payload = try JSONEncoder().encode(name)
webView.evaluateJavaScript("showUser(\(String(data: payload, encoding: .utf8)!))")

Düzeltme

JavaScript’e geçen veriyi JSON olarak kodlayın; loadHTMLString öncesi HTML’i kaçışlayın.