XSS和Meta標籤

Question

我們正在考慮允許我們的客戶在CMS中編輯頁面的元數據。該插件允許客戶將元標籤插入到頁面的頭部並定義他們自己的名稱和內容屬性。

<meta name="my_name" content="my_content"> 

這是安全嗎？他們的任何XSS攻擊可以利用這個優勢嗎？

Cheers guys n gals

Answer 1

我發現該插件沒有HTML轉義用戶輸入值。所以，你可以提供的內容值：

0;url=http://www.google.com" http-equiv="refresh 

要獲得元重定向這樣的：

我所舉報的問題向插件開發。