Question

我对安全性并不是很好...所以只是想知道我是否在使用lightbox 2.6.1并且我有

编辑：示例显示静态，但实际上这个google.com链接来自mySQL数据库，我已经填充了与图像一起的链接（当用户上传他们的图像时，他们键入图像链接源中的IE）谷歌将取而代之。

<a href="uploads/image.jpg" data-lightbox="example-set" title="&lt;a target='_self' href='http://www.google.com'&gt;Google&lt;/a&gt;">
<img src="uploads/image.jpg" alt="" />
        </a>

是否可以执行XSS或任何形式的危险JavaScript？我问，因为我对这部分犹豫不决。

title="&lt;a target='_self' href='http://www.google.com'&gt;Google&lt;/a&gt;"

Answer 1

答案是“可能”。似乎HTML嵌入在HREF的“title”属性中，因此请确保您不会突破

title代码。
嵌入式href代码

这完全取决于您使用哪种编码来插入值，但确保单独使用编码是安全的，因为您还要确保无法插入javascript: URL。 / p>

在将URL插入数据库之前，是否可以对URL执行任何验证？例如文件名只包含字母数字字符和扩展名前的一个点。

有关阻止XSS的更多信息，请参阅此处：https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

在这种情况下XSS是否可能？

1 个答案: