Веб-безпека · Middle · Запитання 7 з 75
Користувачі можуть завантажувати SVG-аватари, що віддаються з вашого основного домену. Який ризик?
- ✓Правильна відповідь: SVG може містити скрипти; якщо відкрити його напряму, він виконається на вашому origin як збережений XSS
- 2SVG-файли завжди більші за PNG, тож сайт сповільниться
- 3Браузери не показують завантажені SVG-файли
Пояснення
Віддавайте завантаження з окремого домену, очищайте чи растеризуйте SVG і надсилайте Content-Disposition: attachment або сувору CSP для файлів користувачів.