Impedir body onload xss que se inyecta como un parámetro de solicitud

0

Tengo una aplicación Rails 4.0.1 que permite la configuración regional como un parámetro de solicitud. Esto es lo que vi cuando probé mi aplicación en Firefox;

http://localhost:3000/pages?locale=en_EN%22%3E%3Cbody%20onload=%22alert%28%27XSS%27%29

¡Así que Firefox ejecuta body = onload cuando la página se procesa, si ejecuto esta solicitud desde el navegador Firefox, lamentablemente alerta a xss en un cuadro de diálogo cuando se carga!

Chrome ni siquiera envía la solicitud y Safari dice que la solicitud falló, lo que es bueno.

No hay nada dañino en el backend, pero esta solicitud afecta terriblemente al lado del cliente.

¿Me falta algo para implementar en mis encabezados de respuesta? ¿Qué hay que hacer para decirle al navegador que no manipule DOM con los parámetros de solicitud?

    
pregunta whizzkid 20.02.2014 - 10:24
fuente

1 respuesta

0

por lo que podría ser que tengas una instancia de un error conocido de Rails ya que recientemente hubo un problema de XSS en la internacionalización. CVE-2013-4991

En la primera instancia, si puede, recomiendo actualizar a una versión parcheada o aplicar la solución en el enlace de arriba.

    
respondido por el Rоry McCune 20.02.2014 - 12:35
fuente

Lea otras preguntas en las etiquetas