%20--%3e%3ccircle%20cx='32'%20cy='32'%20r='30'%20fill='rgba(99,102,241,0.05)'%20stroke='url(%23icon-gradient)'%20stroke-width='1.5'/%3e%3c!--%20Left%20bracket%20%3c%20--%3e%3cpath%20d='M12%2020L4%2032L12%2044'%20stroke='url(%23icon-gradient)'%20stroke-width='4'%20stroke-linecap='round'%20stroke-linejoin='round'%20fill='none'/%3e%3c!--%20Central%20E%20--%3e%3cpath%20d='M22%2018H42V24H28V29H40V35H28V40H42V46H22V18Z'%20fill='url(%23icon-accent)'/%3e%3c!--%20Right%20bracket%20%3e%20--%3e%3cpath%20d='M52%2020L60%2032L52%2044'%20stroke='url(%23icon-gradient)'%20stroke-width='4'%20stroke-linecap='round'%20stroke-linejoin='round'%20fill='none'/%3e%3c!--%20Decorative%20dots%20--%3e%3ccircle%20cx='32'%20cy='10'%20r='2'%20fill='%23818CF8'%20opacity='0.7'/%3e%3ccircle%20cx='32'%20cy='54'%20r='2'%20fill='%236366F1'%20opacity='0.7'/%3e%3c/svg%3e){kind=small}
CSP no efectiva contra XSS
Alto
CSP no efectiva contra XSSSu Content Security Policy falta o no previene eficazmente los ataques de cross-site scripting.
Riesgo
Una CSP débil o ausente permite a los atacantes inyectar scripts maliciosos vía vulnerabilidades XSS. Estos scripts pueden robar cookies y sesiones, capturar pulsaciones de teclas, modificar el contenido de la página, redirigir usuarios a sitios de phishing, o realizar acciones en nombre del usuario. CSP es la medida de defensa en profundidad más efectiva contra XSS.
Solución
Implemente una CSP estricta que use nonces o hashes en lugar de 'unsafe-inline'. Evite 'unsafe-eval'. Use 'strict-dynamic' para carga de scripts confiables. Pruebe primero con Content-Security-Policy-Report-Only.
Ejemplo
Content-Security-Policy: script-src 'nonce-{random}' 'strict-dynamic'; object-src 'none'; base-uri 'self' Comentarios (0)
Inicia sesión para publicar un comentario.