Sin política de Trusted Types

Medio
Sin política de Trusted Types

Su sitio no usa Trusted Types, una API del navegador que previene ataques de cross-site scripting basados en DOM.

Riesgo

El XSS basado en DOM ocurre cuando JavaScript toma entrada controlada por el usuario y la pasa a sinks DOM peligrosos (innerHTML, eval, document.write). Sin Trusted Types, no hay forma sistemática de prevenir estos puntos de inyección. Trusted Types impone que solo valores sanitizados y confiables puedan asignarse a propiedades DOM peligrosas.

Solución

Active Trusted Types vía encabezado CSP. Cree una política de Trusted Types que sanitice HTML. Refactorice su código para usar la política al asignar a sinks peligrosos.

Ejemplo
Content-Security-Policy: require-trusted-types-for 'script'
Trusted Types - web.dev MDN - Trusted Types
Comentarios (0)

Aún no hay mensajes.