Guía de vulnerabilidades de seguridad

Comprender y corregir las vulnerabilidades de seguridad web comunes detectadas por VitaPulse

Medio
Sin política de Trusted Types

Su sitio no usa Trusted Types, una API del navegador que previene ataques de cross-site scripting basados en DOM.

Riesgo

El XSS basado en DOM ocurre cuando JavaScript toma entrada controlada por el usuario y la pasa a sinks DOM peligrosos (innerHTML, eval, document.write). Sin Trusted Types, no hay forma sistemática de prevenir estos puntos de inyección. Trusted Types impone que solo valores sanitizados y confiables puedan asignarse a propiedades DOM peligrosas.

Solución

Active Trusted Types vía encabezado CSP. Cree una política de Trusted Types que sanitice HTML. Refactorice su código para usar la política al asignar a sinks peligrosos.

Ejemplo
Content-Security-Policy: require-trusted-types-for 'script'
Trusted Types - web.dev MDN - Trusted Types
Comentarios (0)

Aún no hay mensajes.