Új hozzászólás Aktív témák

• sztanozs veterán

  #9059

  #9043 lafaty80

  2021-12-27 10:45:12

  Új Válasz

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  

  sztanozs

  veterán

  #9043 lafaty80

  #9043 lafaty80

  Ok, értem.

  Checkmarx integrates automated software security technologies into DevOps
  A probléma, ami most kezdte el csak zavarni a rendszert: DOM-based vulnerabilities

  jsfiddle a kódot most dobtam össze (ne a szerkezetét nézzétek ), illetve a stackoverflow-ról szedtem egy escapeHTML megoldást, próbaképpen...
  "data" lesz amit visszakapok, ez lehet ilyen formában, vagy json-ba ágyazva, igazából mindegy, ezért ezt használtam.

  Most nálam a sima .append van beállítva erre checkmarx ezt mondja nekem: "The application's $.post embeds untrusted data in the generated output with append"

  Sajnos legtöbb esetben csak url címre és sima string-re találok megoldást, az én verziómra nem.
  Az a hab a tortán, hogy konkrét megoldási lehetőséget sem ajánl fel checkmarx, csak a sebezhetőséget írja le, tehát nem tudom milyen módon tudnám a számára elfogadható megoldást megcsinálni

  Bár nem fontos szerintem a program php-s, és a $.post() is egy php-t hív meg, onnan jön vissza az eredmény(data) ide.

  Remélem így elég lesz/lehet
  

  Ez egy komoly biztonsági hibalehetőség egyébként, ha a forrás nem ellenőrzött (illetve a csatorna nem biztonságos), akkor bármilyen rosszindulatú tartalom beinjektálható így.
  Vélelmezem, hogy
  - a rendszerben valahogy meg lehet adni a trusted source-okat és utána nem sivít emiatt;
  - a rendszer csak titkosított forrást (https, érvényes certificate-tel) fogad el trusted sourfce-nak.

Új hozzászólás Aktív témák