如何确保应用程序对抗第三方js库中的XSS载体？

我正在使用各种第三方libs，如cordova.js，jquery，jquery mobile，mobilizer等等，在一个android移动应用程序中。这些库被发现有不同的XSS矢量，通过不安全的使用eval，settimeout，inner/outerhtml等。如何确保应用程序对抗第三方js库中的XSS载体？

有没有什么方法可以覆盖/修复这些安全漏洞，并仍然安全地在我的应用中使用这些库文件？

来源

2013-03-11 Ocelot

这些真正的安全漏洞还是他们警告你应该从某种自动化工具更仔细检查的事情？ – Quentin 2013-03-11 11:25:36

@Quentin我们通过IBM Appscan运行了该应用程序，并且在出现误报后显示了许多高严重性XSS问题。 – Ocelot 2013-03-11 11:34:09

这听起来非常类似于“只对您放置数据的位置非常敏感”而不是实际的安全漏洞。 – Quentin 2013-03-11 11:36:11

这些漏洞应该报告给供应商，你应该使用他们的补丁。

利用DOM Based XSS和android是可能的，但攻击媒介更受限制，因为攻击者通常不能利用简单的GET或POST请求利用这些漏洞中的一个。

来源

2013-03-11 21:03:57 rook

如何确保应用程序对抗第三方js库中的XSS载体？

回答

相关问题