フラグメントの中にスクリプトがあることは、潜在的なXSS脆弱性として認められるのか？

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• フラグメントが開かれたときにコードが実行されるように、フラグメントのHTMLセクションにJavascriptコードを次のように記述することができます。 <img src=x onerror="alert(document.cookie)">
• クロスサイト・スクリプティング（XSS）の脆弱性ではないか？

Environment

• Liferay DXP 7.3+

解決策

• フラグメントHTMLの中にスクリプトがあることは有効なユースケースであるため、これは意図された動作である。
• HTMLフラグメントは、ユーザが高度なロールにのみ使用を許可することを想定しているため、そのままではサニタイズを提供しません。また、ユーザはマスターページで使用を許可しないように設定することで、アクセスを制限することができます。 どのフラグメントの管理者も、フラグメントのJSフィールドにあらゆる種類のJavascriptを書くことができ、これらのスクリプトは悪意のある者によって注入されるのではなく、管理者がサイトに機能を提供するために注入する。
• それでも、我々は提供する：
  
  • フラグメント・テキスト値をエスケープする可能性については、こちらで説明しています：フラグメント設定テキスト値のエスケープ (関連記事も見つけました: エディターがウェブコンテンツのフィールドに実行可能コードを注入するのを防ぐことはできますか？)
  • SanitizerUtilは、ユーザーが独自のサニタイズ・ルールを実装するためのものです。