Blog: Enabling Trusted Types in a Complex Web Application: A Case Study of AppSheetWant to know more about adopting Trusted Types to improve the security posture of an application? Take a look at our case study describing how we rolled out Trusted Types in AppSheet, a Google product.
注目したいクライアントサイドの脆弱性2選/ Security.Tokyo #3
Security.Tokyo #3の発表資料です。 クライアントサイドのパストラバーサルと、postMessage経由の脆弱性を取り上げました。
DOM-based race condition: racing in the browser for fun
DisclaimerAll projects mentioned in this blog post have been contacted, and I confirmed that the behavior described in this article is either working as intended, already fixed, or will not be fixed. TL;DRThe browser loads elements in the HTML from top to bottom, and some JavaScript libraries retrieve data or attributes from the DOM after the page has been completely loaded. Because of how the con
SPAセキュリティ超入門 | ドクセル
スライド概要 SPA(Single Page Application)の普及が一層進んでおり、従来型のMPAを知らないウェブ開発者も生まれつつあるようです。SPA対応のフレームワークでは基本的な脆弱性については対策機能が用意されていますが、それにも関わらず、脆弱性診断等で基本的な脆弱性が指摘されるケースはむしろ増えつつあります。 本セッションでは、LaravelとReactで開発したアプリケーションをモデルとして、SQLインジェクション、クロスサイトスクリプティング、認可制御不備等の脆弱性の実例を紹介しながら、現実的な対策について紹介します。LaravelやReact以外のフレームワーク利用者にも役立つ説明を心がけます。 PHPカンファレンス2022での講演資料です。 PHPカンファレンスでの動画URL https://www.youtube.com/watch?v=jZ6sWyGxcCs
New XSS vectors
Published: 20 April 2022 at 14:00 UTC Updated: 20 April 2022 at 14:07 UTC Transition based events without style blocksSo, recently, I was updating our XSS cheat sheet to fix certain vectors that had been made obsolete by browser updates. Whilst looking at the vectors, the transition events stuck in my head. They needed a style block as well as the event: <style>:target {color:red;}</style> <xss id
開発者が知っておきたい「XSSの発生原理以外」の話 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityのセキュリティエンジニアの冨士です。 本稿では、XSS(クロスサイトスクリプティング)が攻撃に用いられた時のリスクの大きさを紹介していきます。以降はクロスサイトスクリプティングをXSSと記載していきます。 XSSはセキュリティエンジニアならもちろん、開発を行っているエンジニアの多くの方が知っている脆弱性です。ですが、私はWebアプリケーションの脆弱性診断を行ってきた経験の中で多くのXSSを目にしてきましたし、依然として検出率の多い脆弱性の一つだと感じています。 その認知度や、一般的な対策方法のハードルの低さ(設計や仕様によっては対策工数が大きい場合もありますが)にも関わらずXSSの検出率が多いのは、直感的にリスクがわかりづらく、アラートをあげるだけの紹介が多いことが一つの要因ではないかと考えています。 すなわち、興味範囲が「どのよう
Prevent DOM-based cross-site scripting vulnerabilities with Trusted Types | Articles | web.dev
anElement.innerHTML = aTrustedHTML; With Trusted Types enabled, the browser accepts a TrustedHTML object for sinks that expect HTML snippets. There are also TrustedScript and TrustedScriptURL objects for other sensitive sinks. Trusted Types significantly reduce the DOM XSS attack surface of your application. It simplifies security reviews, and lets you enforce the type-based security checks done w
Cross-Site Scripting (XSS) | Snyk
A cross-site scripting attack occurs when the attacker tricks a legitimate web-based application or site to accept a request as originating from a trusted source. This is done by escaping the context of the web application; the web application then delivers that data to its users along with other trusted dynamic content, without validating it. The browser unknowingly executes malicious script on t
Invoking a function without parentheses
I was told today that it's possible to invoke a function without parentheses. The only ways I could think of was using functions like apply or call. f.apply(this); f.call(this); But these require parentheses on apply and call leaving us at square one. I also considered the idea of passing the function to some sort of event handler such as setTimeout: setTimeout(f, 500); But then the question becom
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
BHack Conference
GitHub - BlackFan/client-side-prototype-pollution: Prototype Pollution and useful Script Gadgets
Release DOMPurify 2.1.0 · cure53/DOMPurify
terjanq on Twitter: "I just got a fancy idea to create strings in #javascript without using dangerous characters 😃 Inspired by… https://t.co/tZoDipsAOQ"
フロントエンドエンジニアのためのセキュリティ対策 ~XSS編~ / #frontkansai 2019
GitHub - terjanq/JS-Alpha: Funny project to create an encoder/obfuscator that converts any javascript code into a code that only consist of /[a-z().]/ characters
XSS-Payloads/Without-Parentheses.md at master · RenwaX23/XSS-Payloads
https://14.rs/
Attempted to fix an XSS when noembed or noscript are whitelisted · cure53/DOMPurify@8fafd77
Tangled World of Web Technology ― Are we safe?
GitHub - Metnew/uxss-db: 🔪Browser logic vulnerabilities :skull_and_crossbones:
