Sto costruendo un'applicazione web in cui un utente può aggiornare il suo avatar caricando un'immagine dalla sua directory di file del computer. Ecco come l'ho implementato:
<input id="profile_pic" class="avatar-upload" type="file">
Tuttavia, ho notato che se un utente modifica type="file" in type="url" , sarà in grado di caricare un'immagine utilizzando qualsiasi URL .
Quindi è un'opzione sicura o dovrei proibire agli utenti di agire in tal modo? Come può essere sfruttato?
Supponendo che l'utente stia inviando un URL che viene quindi memorizzato sul server e inserito nel link dell'immagine:
È generalmente buona norma per i siti Web non rinunciare alle informazioni personali sui propri utenti (inclusi gli indirizzi IP) che, se si inserisce un URL su un server che si controlla con un avatar che verrà utilizzato solo da quel sito, un l'utente malintenzionato potrebbe utilizzare per creare un elenco di tutti gli indirizzi IP degli utenti e probabilmente anche fare un riferimento incrociato con quando vengono pubblicati o visualizzati come "online" per restringere chi è quale IP. Mentre è ancora possibile raccogliere questo (cioè pubblicando un link allo stesso, che induce gli utenti a fare clic su di esso) averlo fatto automaticamente è una cattiva forma. Gli utenti non possono evitare di rivelare il loro IP a nessun altro utente quando visitano la pagina. Vorrei strongmente sconsigliarlo come una "caratteristica".
Leggi altre domande sui tag web vulnerability