Sicherheit von Webanwendungen · Middle · Frage 12 von 75
Serverseitig gerenderter State wird so eingebettet: <script>window.__STATE__ = ${JSON.stringify(state)}</script>. Was ist das Problem?
- 1Ein
</script>im String schließt das Tag früh: XSS - 2
JSON.stringifyentfernt alle Strings aus dem State - 3Nichts, da JSON in einem Script-Tag immer sicher ist
Antwort zeigen
Richtige Antwort: Ein </script> im String schließt das Tag früh: XSS
Erklärung
Der HTML-Parser sieht </script>, bevor JavaScript läuft. Dafür gemachte Frameworks und Serialisierer escapen <, > und /.