BeX5怎么解决XSS漏洞

syageki · 发表于 2017-7-4 18:12:29

问题描述：
版本:5.3.6
操作步骤:
1.用System用户登录后在【组织权限管理】下的【角色管理】管理中，点击【新建功能角色】
2.在新建界面的【名称】中输入：</td><script>alert('1');</script></td>,其它值随便输入，点击确定
3.【角色管理】界面加载时，弹出提示框，内容为1

这说明服务器未对用输入提交的内容进行有效的校验或过滤，导致存在XSS漏洞。

求助：
我们现在做的项目在初期的时侯也忘记对输入的内容进行校验和转码了，所以如果每个界面保存的时候都去加上校验(虽然校验可以使用统一的函数去处理),工作量很大，而且系统本身提供的组织权限管理功能中也存在这个问题，也需要修改。

现在想请问下有谁知道，BeX5的组件有没有在显示数据的时候对数据里面的特殊字符如"<",">"进行转义处理这种属性设置，或者是BeX5本身是否有对应的设置可以去统一的对这种输入进行校验？
如果BeX5本身系统无法实现，大家是否有更好的解决方法？

跪求好的解决方法

jishuang · 发表于 2017-7-5 11:10:00

确认一下都用的什么组件有这个问题
目前已知的应该是output和dataTables组件显示这样的数据有的时候有问题
output组件已经处理过了

角色管理中用的是dataTables

syageki · 发表于 2017-7-5 15:19:46

dataTables这个组件我们好多界面用到了，这需要如何解决？
具体的还有哪些组件显示的时候有这个问题我们需要再确认下。。。

jishuang · 发表于 2017-7-5 16:42:47

把你的/UI2/system/components/justep/dataTables/dataTables.js这个文件发一下

changda · 发表于 2017-9-12 16:09:04

请问这个问题解决了吗？我们的项目也有用到dataTables，确实存在这样的问题。

jishuang · 发表于 2017-9-12 16:29:08

把你的/UI2/system/components/justep/dataTables/dataTables.js这个文件发一下

changda · 发表于 2017-9-14 09:59:28

jishuang 发表于 2017-9-12 16:29
把你的/UI2/system/components/justep/dataTables/dataTables.js这个文件发一下

已上传到附件。
请问以后版本会优化吗？

jishuang · 发表于 2017-9-14 11:27:16

3.7下次的版本就会处理

		自动登录	找回密码
密码			注册

[结贴] BeX5怎么解决XSS漏洞