Nessuna policy Trusted Types

L'XSS basato sul DOM si verifica quando JavaScript prende un input controllato dall'utente e lo passa a sink del DOM pericolosi (innerHTML, eval, document.write). Senza Trusted Types non esiste un modo sistematico per impedire questi punti di iniezione. Trusted Types garantisce che solo valori sanificati e attendibili possano essere assegnati a proprietà del DOM pericolose.

Abilita Trusted Types tramite l'header CSP. Crea una policy Trusted Types che sanifichi l'HTML e rifattorizza il tuo codice in modo che usi la policy quando assegna valori a sink pericolosi.