codeigniter - ci_csrf_tokenは” onmouseover = prompt（XSS）bad =”に設定されました

Question

フォームでci_csrf_token非表示フィールドを使用しましたが、スクリプト内のフォームはすべてAcunetix WebVulnerabilityScannerでアラートを受け取ります。

アラートの詳細：

Cookie入力ci_csrf_tokenが"onmouseover= prompt（965267）bad="に設定されました。入力は二重引用符で囲まれたタグ要素内に反映されます。

ビューソース：

<input type = "hidden" name = "ci_csrf_token" value = "\\" onmouseover = prompt（965267）bad = \ "" />

誰かが私がそれを解決するのを手伝ってくれる？

Answer 1

トークンを非表示フィールドに配置する前に、トークンをhtml属性でエンコードする必要があります。クライアント側またはサーバー側のフォームに追加しますか？サーバー側で行う場合は、入力検証を行って、トークンが期待される形式であることを確認することをお勧めします。