XSS — ситуация, когда сайт позволяет недоверенным данным выполняться в браузере как код. Посетитель видит доверенный домен, но часть поведения страницы контролирует посторонний. Риск может возникать в комментариях, отзывах, результатах поиска, профилях и внутренних панелях сотрудников.
Почему проблема касается бизнеса
Опасный скрипт может подменить содержимое страницы или выполнять доступные в контексте пользователя действия. Конкретные последствия зависят от приложения и защитных механизмов. Нельзя считать проблему незначительной только потому, что база данных напрямую не изменяется.
Что нужно проверить
- Как выводятся тексты из форм, импортов и внешних API.
- Используется ли безопасное экранирование под конкретный контекст.
- Как очищается разрешённый форматированный HTML.
- Не вставляется ли недоверенный текст в опасные браузерные операции.
- Проверены ли административные страницы, а не только публичные.
Почему нельзя просто удалить слово script
Небезопасный код имеет много форм, а способы вывода различаются. Значение внутри HTML-текста, атрибута и JavaScript требует разного обращения. Самодельный фильтр по нескольким словам легко оказывается неполным. Для разрешённого HTML используют поддерживаемый механизм очистки с ограниченным набором возможностей.
Content Security Policy может уменьшить последствия части ошибок, но не заменяет безопасный вывод данных. Аналогично, защита cookie не запрещает все действия скрипта в открытом приложении.
Как оценить исправление
Попросите разработчика показать, какие места вывода изменены и какими тестами покрыты. Проверьте, что нормальный пользовательский текст не исчезает и не ломает разметку. Если заражённый контент уже сохранён в базе, одного обновления шаблона может быть недостаточно: нужно проверить и обработать существующие записи.
Для владельца критерий прост: недоверенные данные остаются данными, а разрешённое форматирование проходит управляемую очистку. Технические проверки выполняются специалистом в согласованной среде, без размещения опасных примеров на публичном сайте.
Дополнительно: OWASP: предотвращение XSS.
Читайте также
- Аудит безопасности сайта: какие уязвимости нужно проверить
- HTTP-заголовки безопасности: какие нужны корпоративному сайту
- Как проверить сторонние скрипты и виджеты на риски для сайта
Если задача связана с вашим сайтом, можно обсудить проверку и доработку. Объём работ определяется после знакомства с проектом.
