XSS 安全漏洞

[88250]

https://huntr.dev/bounties/fa546b57-bc15-4705-824e-9474b616f628/

Case 1

XSS PoC : [xss](https://google.com/"//onmousemove="alert(document.domain))
> I can insert an onerror. But I can't log in without a Chinese phone number, so I can't test

1. Open the https://ld246.com/guide/markdown
2. Enter the XSS PoC (Strangely, it doesn't insert at once, so I have to try inserting several times)
3. When the user hovers the mouse over the link, XSS is triggered via a mouse event.

Video : https://www.youtube.com/watch?v=pKQMbrezdCs

Case 2

https://www.huntr.dev/bounties/8202aa06-4b49-45ff-aa0f-00982f62005c/

XSS PoC : [xss](javascript:alert(document.domain))

1. Open the https://ld246.com/guide/markdown
2. Enter the XSS PoC
3. Click the Link

Video : https://www.youtube.com/watch?v=5zzdiBivNSs

Case 3

https://ld246.com/article/1647990115728

在 #1205 中处理。

[HerbertHe]

#918 前端可能这种方式可以一定程度山解决 src 导致的 XSS，建议直接禁掉 iframe 标签的键入

[88250]

恐怕不能禁止，规范里面是允许的。

[HerbertHe]

对于使用 Vditor 的论坛之类的项目来说，这是算是一个严重的安全问题，轻则可以挂广告

[88250]

后端也得过滤一下的。

[HerbertHe]

emmm 那得写个状态机来获取 iframe 的 src 属性过滤吧😂

[88250]

用现成的库可靠一些。

[88250]

Case 3 单独在 #1205 中处理。

[P0cas]

Thanks

[Noahs007]

想禁用

<iframe src="https://www.hao123.com" style="width:800px"></iframe> 类似的标签是否可行

[Noahs007]

还有 embed 类似 iframe 的效果

[Vanessa219]

#1555