ci_csrf_tokenが "onmouseover = prompt（XSS）bad ="

Question

に設定されました。私のフォームにci_csrf_token hiddenフィールドを使用しましたが、スクリプトのどのフォームでもAcunetix Web Vulnerability Scannerでアラートが表示されます。

アラートの詳細：

はクッキー入力ci_csrf_tokenは、入力は、二重引用符の間にタグ要素内で反射され "=悪い（965267）のonmouseover =プロンプト" に設定しました。ビューソースの

：

<入力タイプ= "隠し" 名= "ci_csrf_token" 値= "\\" のonmouseover =プロンプト（965267）悪い= \ ""/>

誰でも私がそれを解決するのを助けることができますか？

Answer 1

トークンを隠しフィールドに入れる前に、そのトークンを属性エンコードする必要があります。それをクライアント側またはサーバー側のフォームに追加しますか？サーバー側で行う場合は、トークンが期待どおりの形式であることを確認するために入力の検証を行うことができます。