GET, POST e windows.location sono vulnerabili all'XSS in un tema Wordpress?

Naviga le tue risposte
2

Ho creato un tema Wordpress per il mio cliente. Mi ha detto che ha scansionato il mio tema con uno scanner di vulnerabilità e che ha problemi di sicurezza con i metodi GET e windows.location . È davvero insicuro? Come posso risolvere questo? Gli errori sono simili a:

Risk Factor: 

Medium / CVSS Base Score : 4.3(CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N)

Output:
Using the GET HTTP method, the scanner found that: 

+ The following resources may be vulnerable to cross-site scripting (quick test) :
+ The 'product_quantity' parameter of the /pink-drool-proof-bib/ CGI :
/pink-drool-proof-bib/?product_quantity=--><script>alert(112)</script>
Thanks
    
posta Shaikh Aezaz 25.06.2013 - 13:38
fonte

1 risposta

2

Se hai creato un tema Wordpress puro (quindi solo CSS), normalmente non dovrebbero esserci problemi. Il problema è che il parametro GET product_quantity viene mostrato direttamente nella pagina senza disinfettare correttamente l'output. Ciò significa che quando inserisci JavaScript nel parametro, verrà caricato nella pagina (come mostrato) e verrà eseguito lo script.

Ora se usi windows.location per visualizzare le variabili nella tua pagina web, può benissimo essere che non le disinfetti prima di emetterle, rendendo quindi la tua pagina vulnerabile a XSS.

Puoi leggere ulteriori informazioni su OWASP .

    
risposta data 25.06.2013 - 13:52
fonte

Leggi altre domande sui tag

I messaggi molto brevi sono protetti utilizzando la crittografia a chiave pubblica? [duplicare] Sistema di accesso che utilizza la crittografia autenticata senza memorizzare la password dell'utente