CWE-80：网页中与脚本相关的 HTML 标签的不正确中和（基本 XSS）和 CWE-201：将敏感信息插入到发送的数据中

发布于 2025-01-15 17:26:56 字数 465 浏览 1 评论 0原文

我收到以下代码的名为“CWE-80：网页中与脚本相关的 HTML 标记的不正确中和（基本 XSS）”的 veracode 漏洞问题。

var planNumber = <%=request.getParameter("planNumber") %>;
var guid = "<%=trivisionApp.getCustomerGUID() %>";

还有另一种类型的漏洞问题，名为“CWE-201：将敏感信息插入发送的数据”，代码如下：

<script src="/acumepro/javascript/master2.js?v=<%=trivisionApp.getVersionNumber() %>" type="text/javascript"></script>

如何解决这些漏洞，我目前正在从事JSP相关项目。

原文

I am getting veracode vulnerability issue named "CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)" for the following code.

var planNumber = <%=request.getParameter("planNumber") %>;
var guid = "<%=trivisionApp.getCustomerGUID() %>";

Also there is another type of vulnerability issue named "CWE-201: Insertion of Sensitive Information Into Sent Data" for the below piece of code:

<script src="/acumepro/javascript/master2.js?v=<%=trivisionApp.getVersionNumber() %>" type="text/javascript"></script>

How to solve these vulnerability, I am currently working on JSP related project.

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

陌路黄昏 2025-01-22 17:26:56

我们可以使用“org.owasp.encoder.Encode”下的Encode.forJavaScript()函数。下面是演示：

<script src="/acumepro/javascript/master2.js?v=<%=Encode.forJavaScript( trivisionApp.getVersionNumber()) %>" type="text/javascript"></script>

var guid = "<%=Encode.forJavaScript(trivisionApp.getCustomerGUID()) %>";

We can use Encode.forJavaScript() function under "org.owasp.encoder.Encode". Below is the demonstration:

<script src="/acumepro/javascript/master2.js?v=<%=Encode.forJavaScript( trivisionApp.getVersionNumber()) %>" type="text/javascript"></script>

var guid = "<%=Encode.forJavaScript(trivisionApp.getCustomerGUID()) %>";

回复收藏 0 原文

~没有更多了~