Variables · Question 11 sur 12
Un template affiche le commentaire d’un visiteur avec {comment -> f:format.raw()}. Quel est le risque ?
1 réponse est correcte. Difficile
Afficher la solution
Solution
- C Exécution de code malveillant (XSS)
Explication
f:format.raw supprime l’échappement. Si le commentaire contient <script>, celui-ci arrive non filtré dans le HTML. Les saisies des utilisateurs doivent donc être affichées échappées, comme Fluid le fait par défaut.