Variables · Pregunta 11 de 12
Una plantilla muestra un comentario de un visitante con {comment -> f:format.raw()}. ¿Cuál es el riesgo?
1 respuesta es correcta. Difícil
Mostrar solución
Solución
- C Ejecución de código malicioso (XSS)
Explicación
f:format.raw elimina el escape. Si el comentario contiene <script>, acaba sin filtrar en el HTML. Por eso las entradas de usuario deben mostrarse escapadas, como hace Fluid por defecto.