XSSタグとメタタグ

Question

私たちは顧客がCMS外のページのメタデータを編集できるようにしています。このプラグインにより、顧客はメタタグをページの先頭に挿入し、独自の名前とコンテンツの属性を定義することができます。

<meta name="my_name" content="my_content"> 

これは安全ですか？これを利用できるXSS攻撃はありますか？

乾杯のみんなのnギャルは

Answer 1

私は、プラグインは、HTMLエスケープしないことをユーザーの入力値を発見しました。メタを取得するには

0;url=http://www.google.com" http-equiv="refresh 

次のようにリダイレクトします：だからのコンテンツの価値を提供することができます

私は、プラグインの開発者に問題を報告してきました。