Recientemente descubrí una vulnerabilidad XSS en una aplicación que usa JSP para renderizar páginas. El código vulnerable en el JSP era algo como esto:
<td>${customer.notes}</td>
Se solucionó al escapar de la entrada controlada...
Estoy escribiendo un servicio que recibe datos FHIR y los almacena. FHIR es un formato estándar de información de atención médica HL7 que contiene HTML por definición, integrado en un JSON o XML, ( para garantizar la legibilidad humana del doc...
¿Es posible realizar un ataque XSS si puede inyectar un archivo arbitrario (cualquier extensión, como: .js, .html, etc.) en la propiedad background-image CSS? Si es así, ¿cómo hacerlo?
He encontrado el siguiente código JS en varias aplicaciones web. Creo que la razón de la popularidad de este fragmento de código es esta respuesta aceptada en SO . Los desarrolladores parecen estar usando este código muchas veces para cambiar l...
Quiero pasar una cadena de PHP directamente a una variable de JavaScript y mantener la carga en el servidor al mínimo. Tengo el siguiente JavaScript en un archivo PHP para hacer esto:
<!DOCTYPE html>
<html>
...
<body>
<se...
Soy un ávido usuario de Workflowy (herramienta de toma de notas / en línea) y instalé la extensión de Chrome ' Workflowy for Coders ', que formatea el texto dentro de las notas.
Descubrí que una de mis notas activó un Javascript XSS (porqu...
Considere el siguiente script PHP (podría ser cualquier otro idioma; elegí PHP por simplicidad):
<?php
echo $_SERVER['HTTP_REFERER'];
?>
¿Es vulnerable a XSS?
Por supuesto, puedo enviar una solicitud a la secuencia de comandos util...
ALERTA DE SPOILER: no continúes si no quieres que te echen a perder
Actualmente estoy haciendo el Nivel 2 del desafío XSS de Google .
Estoy inyectando el código XSS que se inserta en el documento usando element.innerHTML . No enti...
¿Qué tan explotable es un sitio que escucha los mensajes del navegador de cualquier persona?
Estoy trabajando en un sitio donde he encontrado algunos problemas con iframe. El caso es que el sitio A tiene un iframe del sitio B, y el sitio A es...
Estoy tratando de averiguar cómo usar los JWT que se transmiten en las cookies para un SPA. Debe estar en las cookies porque queremos que las solicitudes que no son ajax también envíen el jwt, y debería "funcionar" para todos. subdominios Tengo...