C10-T009 · XSS et navigateur
XSS via champs profil
« XSS via champs profil » : Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Corrigez la validation et le traitement côté serveur ; appliquez l’encodage de sortie ou la protection propre au scénario contrôlé.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C10-T009 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans les contrôleurs, validateurs, modèles et vues du parcours concerné le réglage ou le parcours associé à « XSS via champs profil ». Notez la valeur actuelle et les cas qui en dépendent.
- Corrigez la validation et le traitement côté serveur ; appliquez l’encodage de sortie ou la protection propre au scénario contrôlé.
- Vérifiez le résultat sur le même périmètre : le scénario autorisé fonctionne et la donnée hostile de test est refusée ou neutralisée. Conservez la preuve et relancez C10-T009 dans AxiSecurity.
Preuve attendue
le scénario autorisé fonctionne et la donnée hostile de test est refusée ou neutralisée.