Autor: kszh
Dobry materiał, tylko dlaczego taki krzykliwy tytuł? Równie dobrze można by zatytułować “Pozwalasz ładować pliki JS / XML, masz XSS-a!”. Ale do rzeczy: moim skromnym zdaniem jest to mało serdeczny atak...
View ArticleAutor: marsjaninzmarsa
Emm, ale czy wyświetlanie plików SVG na stronie tylko i wyłącznie za pomocą <img /> i nonce-y we wszystkich odwołaniach nie stanowią wystarczającego zabezpieczenia?
View ArticleAutor: Krzysiu
“SVG nie jest formatem graficznym, a dokumentem XML” – SVG jest to format grafiki z paroma dodatkami. XML to tylko sposób zapisu informacji graficznych. Tak samo jak DOC to format dokumentu tekstowego,...
View ArticleAutor: Q.
No właśnie. Co w sytuacji, gdy strona którą testujemy, wprawdzie pozwoli na plik svg, ale umieszcza go w tagu ? Jest bezpiecznie?
View ArticleAutor: vizzdoom
Gdy plik jest hostowany na tej samej domenie (lub subdomenie) co testowana strona, to wtedy istnieje niebezpieczeństwo. Odwołanie się do tego pliku bezpośrednio w przeglądarce może spowodować wykonanie...
View ArticleAutor: vizzdoom
Gdy plik jest hostowany na tej samej domenie (lub subdomenie) co testowana strona, to wtedy istnieje niebezpieczeństwo. Odwołanie się do tego pliku bezpośrednio w przeglądarce może spowodować wykonanie...
View ArticleAutor: vizzdoom
Tutuł krzykliwy, aby zapadł w pamięć. Dużo ciężej, aby pojawiło się wymaganie biznesowe, które miałoby skutkować implementacją uploadu JS/XML (tutaj raczej developer pomyśli, że coś tu może nie grać),...
View ArticleAutor: Michał
Czy nie wystarczy sprawdzić pliku SVG pod kątem XML entities, tagów i tagów ? Wydaje mi się, że wystarczy odrzucić plik jeśli zawiera przynajmniej jedno z wymienionych.
View ArticleAutor: Michał
W odpowiedzi do <a href="https://sekurak.pl/pozwalasz-ladowac-pliki-svg-masz-xss-a/#comment-37176">Michał</a>. Widzę, że wolicie wylać dziecko z kąpielą. Miało być "... tagów image i tagów...
View Article
