Mi escuela usa el sitio web WebAssign para la tarea de matemáticas y ciencias en línea. Una de las características de WebAssign es una sección de "Mis notas" que le permite ingresar notas para un problema y volver a ella más tarde sin enviar la respuesta.
El cuadro de diálogo "Mis notas" tiene un botón <input> para editar el texto y un <div> cuyo innerHTML es el contenido en bruto de las notas. Esto significa que, por ejemplo, escribir π en el cuadro de notas hará que aparezca π en la vista renderizada.
Otro efecto secundario interesante es que es el HTML renderizado que se copia en el cuadro para su posterior edición. Por ejemplo, escribir &gt; y luego presionar "Editar" y "Guardar" repetidamente daría como resultado que la secuencia &gt; → > → > aparezca en el editor.
También puedes romper la página escribiendo algo como </div></body></html> , que se inyecta en el HTML sin formato.
Mi pregunta es si hay algo inherentemente peligroso para el servidor o para otros usuarios del sitio web aquí. Me parece que no lo hay; no tengo ninguna indicación de que el servidor esté ejecutando ningún script, etc., que pueda poner allí, solo almacene el texto y lo envíe de vuelta más tarde. Sin embargo, parece que hay algo simplemente incorrecto sobre esta falta de desinfección en un sitio web de producción. Entonces, ¿esto es un problema?