Ale*_*lex 5 coldfusion templates code-injection
将HTML模板传递给Coldfusion.模板的head标签具有其他属性:
<head profile="http://abc.com">
问题是,当基于此模板生成输出时,Coldfusion会在head标记内注入其脚本:
<head <script type="text/javascript" src="/CFIDE/scripts/cfform.js"></script>
<script type="text/javascript" src="/CFIDE/scripts/masks.js"></script>
profile="http://abc.com">
这会导致profile="http://abc.com">出现在页面顶部并阻止页面验证.
仅当存在表单标记时才会进行代码注入.如果head标签没有任何属性,则不会发生错误的位置注入.属性的存在是项目要求,不能省略.
是否有可能阻止Coldfusion注入脚本？