XSS
2 artículos con esta etiqueta
Cómo elegir las cabeceras de seguridad: cuáles siguen haciendo falta, cuáles están obsoletas y cuáles hacen daño
Más cabeceras no es mejor. Sepáralas en tres grupos: las que siguen siendo eficaces (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), las obsoletas (Expect-CT está prácticamente obsoleta desde junio de 2021) y las que hacen daño activamente (MDN marca X-XSS-Protection como obsoleta y no estándar y advierte de que puede crear vulnerabilidades XSS en sitios por lo demás seguros). Si copias una lista desactualizada, importas los ajustes dañinos junto con los buenos.
Qué es el XSS (Cross-Site Scripting): un fallo que ejecuta el script de un atacante en el navegador de otro usuario
El XSS hace que una cadena proporcionada por el atacante se ejecute 'como script' en el navegador de otro usuario, lo que lleva directamente al robo de sesión y la suplantación. La defensa principal es el escape en la salida. No desactives el autoescape de tu framework.