.innerHTML＆XSS防止

Question

私は、次のコード行を持っています。私は次のようになり影響を受けることだけで、ユーザーのように感じるので、これはXSSの例であるかどう

<img src="/" onerror="alert('attack');"/>

は、しかし、私はわからない午前：私は、ユーザーが簡単のようなものを挿入することで、有害なスクリプトを挿入することができることを実現します攻撃者。

これはXSSの例ですか？もしそうなら、攻撃者がこの脆弱性をどのようにしてXSSの形で活用できるか、そしてこのセキュリティリスクをどのように緩和できるかの例を挙げることができますか？

Answer 1

はい、これはXSSです。攻撃者自身が影響を受けるのであれば、自己XSSと呼ばれます。しかし、自己XSSをCSRFなどの他のバグと連鎖させて、自己XSSを実行可能な攻撃ベクトルにすることができます。

.innerHTMLの代わりに.textContentにuserInputを割り当てると、HTMLではなくテキストとしてデータを扱うようブラウザに指示します。