偵測

用戶端範本插入

high Web App Scanning Plugin ID 112684

語系：

概要

用戶端範本插入

說明

現代 Web 應用程式通常依賴用戶端範本架構來將檢視轉譯給使用者。

當應用程式在其用戶端範本中內嵌並評估使用者控制的不安全運算式時，會產生用戶端範本插入 (CSTI) 弱點。

攻擊者可藉由插入依賴應用程式所使用之範本架構的特定承載，利用此弱點發動跨網站指令碼攻擊。

解決方案

開發人員在動態構建用戶端範本時，應避免內嵌使用者輸入。如果應用程式仍需要此類型的輸入，應先清理與所使用之架構相關的運算式語法，然後再將其嵌入用戶端範本中。

另請參閱

https://docs.angularjs.org/guide/security

https://github.com/tijme/angularjs-csti-scanner

https://ryhanson.com/angular-expression-injection-walkthrough

https://ryhanson.com/stealing-session-tokens-on-plunker-with-an-angular-expression-injection

https://vuejs.org/v2/guide/security.html

Plugin 詳細資訊

嚴重性: High

ID: 112684

類型: remote

系列: Injection

已發布: 2021/1/29

已更新: 2023/6/9

掃描範本: full, pci, scan

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: High

基本分數: 7.5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: High

基本分數: 7.1

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

CVSS 評分資料來源: Tenable

參考資訊