플래시 성공/오류 메시지를 통해 프레임 워크 xss 재생

Question

재생 프레임 워크에서 플래시 쿠키가 서명되지 않아 사용자가 수정할 수 있습니다. 난 내 템플릿에 다음과 같이 다른 하나 개의 요청에서 오류 메시지를 전달하는 데 사용하고 인쇄 할 때

&{flash.error} 

오류 메시지가 악한 HTML 주입 코드를 포함 할 수있다. 이것은 프레임 워크 자습서에서 말하는 방법과 정확히 일치하므로 보안상의 구멍입니까? 아니면 편집증에 불과합니까?

Answer 1

플래시 값을 가져 오는 위치에 따라 다릅니다. 스크립트에서 설정 한 문자열에서 생성하는 경우에는 문제가되지 않지만 보안 문제가 발생하는 곳은 해당 메커니즘을 사용하여 사용자 입력을 다시 게시하는 경우입니다.