playframework - フラッシュの成功/エラー メッセージを介してフレームワーク xss を再生する

Question

Play フレームワークの Flash Cookie は署名されていないため、ユーザーが変更できるようになっています。それを使用して、あるリクエストから別のリクエストにエラーメッセージを渡し、テンプレートでこのように印刷する場合

&{flash.error}

エラー メッセージには、悪質な html インジェクション コードが含まれている可能性があります。これはまさにフレームワークのチュートリアルで私に指示されている方法です.これは本当にセキュリティホールですか?

Answer 1

どこからフラッシュ値を取得しているかによって異なります。設定したスクリプト内の文字列から生成する場合は問題ありませんが、セキュリティの問題が発生するのは、そのメカニズムを使用してユーザー入力をポストバックする場合です。