Keine Trusted-Types-Richtlinie

Mittel
Keine Trusted-Types-Richtlinie

Ihre Website verwendet keine Trusted Types, eine Browser-API, die DOM-basierte Cross-Site-Scripting-Angriffe verhindert.

Risiko

DOM-basiertes XSS entsteht, wenn JavaScript nutzergesteuerte Eingaben an gefährliche DOM-Senken (innerHTML, eval, document.write) weitergibt. Ohne Trusted Types gibt es keine systematische Möglichkeit, diese Einschleusungspunkte zu verhindern. Trusted Types stellen sicher, dass nur bereinigte, vertrauenswürdige Werte gefährlichen DOM-Eigenschaften zugewiesen werden können.

Lösung

Aktivieren Sie Trusted Types über den CSP-Header. Erstellen Sie eine Trusted-Types-Richtlinie, die HTML bereinigt. Passen Sie Ihren Code so an, dass er die Richtlinie bei Zuweisungen an gefährliche Senken verwendet.

Beispiel
Content-Security-Policy: require-trusted-types-for 'script'
Trusted Types - web.dev MDN - Trusted Types
Kommentare (0)

Noch keine Kommentare. Beginnen Sie die Diskussion!