Eine App schreibt den Anzeigenamen eines Nutzers ohne Anführungszeichen in ein Attribut: . Was macht das schlimmer als ein Attribut mit Anführungszeichen?

Es macht keinen Unterschied, HTML-Escaping deckt diesen Fall ab

Browser ignorieren jedes Attribut, das ohne Anführungszeichen steht

Sicherheit von Webanwendungen · Middle · Frage 11 von 75

Eine App schreibt den Anzeigenamen eines Nutzers ohne Anführungszeichen in ein Attribut: `<div title={{name}}>`. Was macht das schlimmer als ein Attribut mit Anführungszeichen?

1Es macht keinen Unterschied, HTML-Escaping deckt diesen Fall ab
2Browser ignorieren jedes Attribut, das ohne Anführungszeichen steht
3Ein Leerzeichen beendet das Attribut, also können neue wie onmouseover folgen

Antwort zeigen

Richtige Antwort: Ein Leerzeichen beendet das Attribut, also können neue wie onmouseover folgen

Attribute ohne Anführungszeichen lassen sich durch viele Zeichen brechen. Setze Attribute immer in Anführungszeichen und nutze Attribut-Kodierung.