JavaScript をエスケープ (Security Center 1.3 で更新)

glide.html.escape_script プロパティを使用して、リストビュー中に HTML フィールドの JavaScript (<script></script>) タグからのエスケープを適用します。

glide プロパティ glide.html.escape_script は、HTML フィールドをサニタイズするのに役立ちます。glide.html.escape_script が推奨値の true に設定されていない場合、埋め込み JavaScript を削除することで、バックエンド Java コンテキストからの HTML フィールド (出力エンコーディング) の入力はサニタイズされません。HTML フィールドの Javascript は、XSS を保存して反映させる可能性があります。XSS 機能により、admin などの上位ロールへの特権エスカレーションが容易になり、横方向の移動が容易になる可能性があります。

警告:

これはセーフハーバープロパティです。つまり、いったん変更したら変えることはできません。元に戻すことはできません。

詳細情報

属性	説明
プロパティ名	glide.html.escape_script
構成タイプ	システムプロパティ (/sys_properties_list.do)
カテゴリ	検証、サニタイズ、およびエンコーディング
目的	アプリケーションに対するクロスサイトスクリプティング攻撃を防ぐこと
推奨値	true
デフォルト値	true
セキュリティリスク評価	8.8
機能への影響	この修正では、UI で強制的に JavaScript エスケープが行われ、エンコードされた結果がユーザーに対してレンダリングされます。これは、結果のデータを用いたインスタンスのユーザーインタラクションに基づいて、機能に影響を与える可能性があります。
セキュリティリスク	(高) クロスサイトスクリプティング攻撃から防御するために、アプリケーションで入力検証を行う必要があります。これらの攻撃により、ログインしているブラウザーのコンテキストで、ユーザーセッションで外部スクリプトが実行される可能性があります。攻撃者はこれを使用してセッション情報と機密データを盗むことができます。
参照	利用可能なシステムプロパティ 高セキュリティ設定

システムプロパティの追加または作成の詳細については、「Add a system property」を参照してください。