Sicherheit von Webanwendungen · Middle · Frage 7 von 75
Nutzer können SVG-Avatare hochladen, die von deiner Hauptdomain ausgeliefert werden. Was ist das Risiko?
- 1SVG kann Skripte enthalten, die als Stored XSS auf deinem Origin laufen
- 2SVG-Dateien sind immer größer als PNG, die Website wird also langsamer
- 3Browser weigern sich, von Nutzern hochgeladene SVG-Dateien anzuzeigen
Antwort zeigen
Richtige Antwort: SVG kann Skripte enthalten, die als Stored XSS auf deinem Origin laufen
Erklärung
Liefere Uploads von einer eigenen Domain aus, bereinige oder rastere SVGs und sende Content-Disposition: attachment oder eine strikte CSP für Nutzerdateien.