できXSS攻撃の使用スパン、P、ラベル...タグ

Question

私はXSSの攻撃者は、ページにスクリプトを挿入するテキストボックスを使用して知っています。 スパム,p,ラベルの要素をフォームに使用してページに挿入できるかどうかを知りたいのですが、この攻撃をラベルで防止する必要がありますか？あなたが動的にユーザー入力からHTML要素を生成する場合

Answer 1

は、XSSの脆弱性は、Webページの中にどこでもレンダリングされ、信頼されていない未検証およびエスケープされていないデータで単に起こるということです。これには、JavaScript、CSS、そして文字通りHTML本体のどこにでも含まれます。

XSSは、でレンダリングされることを意図していますタグから抜け出すと、独自のマークアップを挿入することは簡単だとあなたは、単に設定属性の完全なHTML要素を生成しているかどうかは関係ありません。

Answer 2

どれ HTML要素は、特に XSS攻撃を受けやすいです。あなたが覚えておく必要が何

Answer 3

サイドノート：UIライブラリを使用している場合、ユーザー入力をエスケープする必要があるため、UIコンポーネントに渡すユーザー入力がHTMLまたはプレーンテキストとしてレンダリングされるかどうかを確認することが重要です実際にHTMLとして入力をレンダリングするコンポーネントに渡されます。