Esistono vulnerabilità XSS nel framework Vaadin?

Question

Esistono vulnerabilità XSS nel framework Vaadin?

#1 da (1 voti)

1

Attualmente sto effettuando ricerche su alcune vulnerabilità di applicazione Web, in particolare vulnerabilità lato client come XSS. Ho già letto alcuni argomenti su questo problema. Hanno detto che era possibile iniettare codice dannoso all'interno di XHTML.

Ma mi piacerebbe sapere come è la situazione attuale? È ancora possibile utilizzare XSS per attaccare il framework Vaadin? Qualcuno potrebbe dare qualche esempio di codice per una vulnerabilità semplice?

Nel caso in cui Vaadin non sia più vulnerabile contro XSS, quale sarebbe (in teoria) un modo per utilizzare una vulnerabilità lato client?

vaadin web-application vulnerability xss

posta Nazar Medeiros 21.09.2016 - 14:14

fonte

1 risposta

Leggi altre domande sui tag vaadin web-application vulnerability xss

Come posso proteggere un NAS sulla mia rete domestica? [chiuso] A quali risorse / organizzazioni dovremmo inviare le domande per il test, per prevenire i "falsi positivi" dell'Anti-Virus?

score 1 · Answer 1

Ok, ho trovato alcune informazioni interessanti su questo problema:

Vaadin has built-in protection against cross-site scripting (xss) attacks. Vaadin converts all data to use HTML entities before the data is rendered in the user's browser. You can explicitly allow HTML content in Vaadin components, in which case your application needs to ensure that the data does not contain XSS payloads. (official vaadin documentation)

Quindi ho testato alcuni componenti per un XSS-Attack ed ecco ... permettendo che HTML-content renda alcuni componenti come Label , Tooltip e Notifications vulnerabili contro XSS-Attacks .

Ho un codice di esempio:

Label mainLabel = new Label("<IFRAME SRC=\"javascript:alert('XSS11');\"></IFRAME>");
mainLabel.setContentMode(ContentMode.HTML);
addComponent(mainLabel);