वेरिएबल · प्रश्न 11 / 12
एक टेम्पलेट किसी विज़िटर की टिप्पणी को {comment -> f:format.raw()} से आउटपुट करता है। जोखिम क्या है?
1 उत्तर सही है। कठिन
उत्तर दिखाएँ
उत्तर
- C हानिकारक कोड का निष्पादन (XSS)
व्याख्या
f:format.raw escaping हटा देता है। यदि टिप्पणी में <script> है, तो वह बिना फ़िल्टर हुए HTML में पहुँच जाता है। इसलिए यूज़र इनपुट को escape करके आउटपुट करना चाहिए, जैसा Fluid डिफ़ॉल्ट रूप से करता है।