Межсайтовый скриптинг - скрытые поля формы

Question

Моя заявка проходит проверку на проникновение.

Один из отмеченных элементов XSS заключается в том, что я использую скрытое поле формы для сохранения идентификатора записи в браузере / на экране поиска, а затем использую идентификатор для открытия полной записи. (по почте)

Я изо всех сил пытаюсь понять, как это XSS-атака. Я что-то упустил?

Answer 1

Что произойдет, если форма будет отправлена ​​с измененным значением?

Раскрытие фактического идентификатора базы данных создает риск доступа к строкам в вашей БД, которые принадлежат другому пользователю.

Если вы выставляете идентификатор базы данных и используете его в запросе SQL, вы должны убедиться, что запрос SQL использует переменную связывания для этого идентификатора (или правильно экранирует его, но переменные связывания лучше) и выполнять проверки бизнес-правил, чтобы убедитесь, что строка, соответствующая идентификатору, действительно должна быть видна текущему пользователю приложения.

Это на самом деле не проблема XSS, но это определенно проблема безопасности.

Answer 2

Одна возможность может быть, если вы не фильтруете ввод скрытого поля. Скрытые поля self не являются вектором атаки xss.

Вы уверены, что «нет XSS Attack Vector»? Не передавайте неправильное чувство безопасности, если вы не знаете и не пытались его проверить. Всегда предлагайте пользователям проверять и фильтровать входные данные.

Answer 3

Одна из возможностей может быть, если вы не фильтруете ввод скрытого поля. Скрытые поля self не являются вектором атаки xss.