Может ли использование HREF с jQuery быть уязвимым для XSS?

Question

Burp suite с ошибкой.

Приложение может быть уязвимо для межсайтовых скриптов на основе DOM. Данные считываются из местоположения и передаются в jQuery () посредством следующего оператора: здесь location это javascript объект местоположения, содержащий хэш текущего адреса jQuery (location) .attr ('href'). Split ("//" ) [1]; Является ли приведенный выше код уязвимым для межсайтовых скриптов?

Он используется в следующем коде

var address = jQuery(location).attr('href').split('//')[1]; 
subdomain = address.split('.')[0]; 
this.href = this.href.replace(subdomain, 'www'); 
window.location = this.href;

Answer 1

Кажется, что ложное срабатывание ошибка. У других были похожие истечения.

Человек из Центра поддержки программных продуктов Burp сказал следующее:

Код очень близок к тому, чтобы его можно было использовать. Если бы это было:

$(location).attr(‘href’, ‘’ + var1 + ’/’);

И злоумышленник мог контролировать var1, он мог бы ввести «javascript: alert (document.domain)», и это было бы выполнено. Тем не менее, добавление sla sh предотвратит это.

Наш анализ stati c, скорее всего, приведет к ложным срабатываниям на похожих шаблонах, поскольку мы не пытаемся провести анализ строк.

Страница темы выше

Так что, пока вы не разрешите переменные в свой атрибут href, все будет в порядке. В этом случае вы только читаете значение атрибута href.