Injection CSS: quel est le pire qui puisse arriver?

Question

Nous faisons une évaluation de la sécurité.

Il est possible qu'un utilisateur malveillant injecte du code CSS arbitraire dans les pages Web d'un autre utilisateur, même si nous ne sommes pas sûr qu'il puisse réellement être exploité. Je comprends qu'il pourrait totalement changer l'apparence de la page, même ne rien afficher du tout. Est-ce tout? Quel est le pire qui pourrait arriver? Est-ce que JavaScript peut être intégré dans CSS? Peut-il "voler" les cookies de l'autre utilisateur? Et initier une autre session?

Answer 1

Jetez un oeil ici:

• Ultimate XSS CSS injection
• HTML/CSS Injections - Primitive Malicious Code (or, What’s the worst that could happen?)
• XSS Prevention Cheat Sheet sur OWASP

Answer 2

Oui à tous ce qui précède. L'injection de CSS arbitraire peut conduire à l'exécution de javascript. Regardez:

• XSS Cheat Sheet

La pire chose qui pourrait se produire dépend de l'environnement. Dans certains cas, voler un cookie de session et accéder à la session des utilisateurs peut-être la pire chose à se produire (par exemple, les banques, la négociation d'actions en ligne) cela peut ne pas être le cas pour votre situation. Deuxième exemple: "CSS est l'amphétamine pour votre injection XSS" n'existe plus