From b9ff20da9ae3b7211fdbb64c4954a42354b6c1cb Mon Sep 17 00:00:00 2001 From: Paul Wagener Date: Mon, 16 Mar 2015 10:36:21 +0100 Subject: [PATCH] Fix --- templates/xss.html | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/templates/xss.html b/templates/xss.html index cf2d270..21f9568 100644 --- a/templates/xss.html +++ b/templates/xss.html @@ -73,7 +73,7 @@ figcaption {

Let op dat het uitmaakt waar in de HTML je de invoer van de gebruiker plaatst. Stel dat je de site zo geprogrammeerd hebt:

-

<script>{{ gebruikersinvoer hier }}</script>

+

<script>gebruikersinvoer hier</script>

Dan heeft geen enkele escape actie zin meer, het is dan bijna altijd mogelijk om Javascript op je site uit te voeren. Het zal je verbazen hoeveel sites bijna letterlijk bovenstaande code in zich hebben om 'handig' Javascript variabelen op een bepaalde waarde te zetten.