ボタンの断片の中にスクリプトがあることは、潜在的なXSS脆弱性として認められるのでしょうか？

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• ButtonフラグメントのURLフィールドにJavascriptコードを記述することで、ボタンをクリックしたときに次のように実行されます。 javascript:alert(document.cookie)
• クロスサイト・スクリプティング（XSS）の脆弱性ではないか？

Environment

• Liferay DXP 7.3+

解決策

• そのため、URLを扱う管理者（または編集者）は、そのボタンを使ってJavascriptを起動することができます。
• ページ上のフラグメントは、ページを構成する利用可能なHTML機能にアクセスできなければならない。 この場合ここでは <a>タグはそのhref属性にjavascriptを含めることができます。