c# - DataBinder.EvalのXSS

Question

次のC＃コードビハインドのどこにXSSの可能性がありますか？

// Get data based on key names
for (int i = 0; i < m_dataKeyNames.Length; i++)
{
   data[i] = (string)DataBinder.Eval(container.DataItem, m_dataKeyNames[i]);
}

これは修正できますか？ありがとう。

Answer 1

データの出所によっては、誰かが別のフォームを介して追加したスクリプトが含まれている場合があります。

データを追加して取得するときは、 HtmlEncodeメソッドを使用してデータをサンティゼーションする必要があります。