Variablen · Frage 11 von 12
Ein Template gibt einen Kommentar von Besuchern mit {comment -> f:format.raw()} aus. Was ist das Risiko?
1 Antwort ist richtig. Schwer
Lösung anzeigen
Lösung
- C Ausführung von Schadcode (XSS)
Erklärung
f:format.raw hebt das Escaping auf. Enthält der Kommentar <script>, landet er ungefiltert im HTML. Nutzereingaben müssen deshalb maskiert ausgegeben werden, wie Fluid es standardmäßig tut.