Preguntas con etiqueta 'javascript'

preguntas con etiqueta
2
respuestas

¿Cuáles son los riesgos de seguridad de habilitar Cors en localhost?

Tengo una aplicación móvil basada en Cordova que está llegando a alguna API a través de un servidor local en el móvil. La aplicación móvil establece el origen como Localhost. Aquí surge el corsé y no puedo hacer la solicitud. Ahora estas API se...
hecha 06.04.2017 - 20:51
1
respuesta

¿Cadena entre comillas doble de JavaScript de XSS con HTML escapado posible?

¿Es posible inyectar XSS en una variable de JavaScript si un sitio web inserta un código HTML codificado, la entrada del usuario en una cadena con doble cita? var userString = "perfectly "safe" input from user?";    ...
hecha 26.06.2013 - 23:38
2
respuestas

HTTP Content-Policy-Security-Nonce and Caching

¿Alguien aquí puede aclarar cómo afecta el almacenamiento en caché al agregar un nonce=value a todos los javascript en línea? Si el nonce debe ser único e impredecible, entonces uno tendría que deshabilitar todo el caché del lado del s...
hecha 03.12.2016 - 00:22
1
respuesta

Previniendo XSS en SVG

Actualmente, al evaluar una aplicación, descubrí que es posible enviar un relleno SVG que contenga Javascript (la aplicación también es vulnerable a XXE). Me pregunté si había un método para prevenir esas vulnerabilidades y asegurar el formulari...
hecha 16.01.2017 - 11:40
1
respuesta

¿Cómo hago sandbox para el usuario JS sin utilizar una VM, un transpiler o una API basada en la lista blanca?

He investigado y existen algunas formas sólidas para el usuario de sandbox JS, a saber: Use una máquina virtual JS que ejecute JS utilizando una forma de espacio aislado de js, como VM.js Use un transpiler como Google Caja, que agrega co...
hecha 01.09.2016 - 07:28
1
respuesta

Método de autenticación simple para proteger la API REST

Intenté desesperadamente encontrar un método simple para proteger mi API, pero aún no he encontrado uno que funcione. A diferencia de muchas API RESTful, mi API no necesita inicios de sesión de usuario, tokens que expiren u otros métodos de aute...
hecha 17.07.2016 - 01:46
1
respuesta

Variable asignada a objeto Injection Inink (seguridad / detectar-objeto-inyección)

Estoy probando mi código en ESLint. Dice:    Variable asignada al objeto Injection Inink (seguridad / detectar-objeto-inyección). Sin embargo, no estoy usando un recurso externo para asignarlo a mi variable. ¿Existe realmente un problema...
hecha 04.10.2017 - 19:51
2
respuestas

¿Es seguro compartir un token de acceso a través de la API de mensajería HTML5 entre varios iframes?

Tengo un sitio web principal que integra otros 3 sitios web a través de iframes (sistemas heredados que proporcionan varias funcionalidades con una interfaz de usuario). Actualmente, el usuario tiene que autenticarse con cada uno de los sistemas...
hecha 10.10.2016 - 00:16
1
respuesta

¿Es seguro procesar datos directamente a DOM desde localStorage? ¿Posible ataque XSS?

Leí que el almacenamiento local es susceptible a los ataques XSS. Actualmente almaceno JSON Web Token (JWT) en localstorage, y accedo y muestro datos sobre el usuario a través de localstorage: var localstore = // localStorage object // On...
hecha 11.05.2015 - 00:04
4
respuestas

¿Explotando XSS en jQuery sin el mismo carácter?

Este es un código de JavaScript vulnerable: $(document).ready(function(){ var payload = unescape(document.location.hash.substr(1)); $(payload); document.body.innerText = "The payload is: " + payload; }); Cuando intenté explotarl...
hecha 08.04.2018 - 20:10