Bezpieczeństwo aplikacji webowych · Middle · Pytanie 7 z 75
Użytkownicy mogą wgrywać awatary SVG, serwowane z Twojej głównej domeny. Jakie jest ryzyko?
- ✓Poprawna odpowiedź: SVG może zawierać skrypty; otwarty bezpośrednio uruchomi się na Twoim originie jako stored XSS
- 2Pliki SVG są zawsze większe niż PNG, więc strona zwolni
- 3Przeglądarki nie wyświetlają wgranych plików SVG
Wyjaśnienie
Serwuj wgrane pliki z osobnej domeny, czyść lub rasteryzuj SVG i wysyłaj Content-Disposition: attachment albo restrykcyjną CSP dla plików użytkowników.