javascript - XSS - エスケープはありませんが、レンダリングはありません

Question

私はページがあるサイトを持っていますhttp://www.example.com/errorpage.html?errmsg="Some error string"

このエラー文字列は、ファッション サーバー側で Web ページにレンダリングされ<p class="error">Some error string</p>、HTML がクライアントに送信されます。

私はこれを回避して成功せずにマークアップを変更できるかどうかを確認するために、過去に試みてきました。

それは可能ですか、それともページは安全ですか。

ありがとう -ミッチェル

Answer 1

このサイトには、CSS/XSSエクスプロイトのかなり包括的なリストと特定の例があります。ただし、クエリパラメータを介してエラーメッセージをレンダリングできるようにすることはかなり疑わしいことです。これらのベクトルがどれも機能しない場合でも、将来何らかのベクトルが発生しないという保証はありません。