Seguridad en código postal

Hola Discourse,
Editar: Solía publicar mi pregunta en Posting code or preformatted text.

En mi instancia de Discourse autoalojada, tenemos un WAF delante de la instalación. Tiene reglas más estrictas por defecto que a veces impiden que los usuarios publiquen código formateado. Por ejemplo, las ediciones que contienen /etc/init.d se consideran un problema de seguridad. Mi pregunta es cómo la función de texto preformateado en sí misma garantiza algún tipo de XSS o ataque de código. ¿O el núcleo de Discourse protege el código enviado evitando problemas de seguridad? ¿Estoy seguro de permitir todas las publicaciones que contengan fragmentos de código, para poder ajustar las reglas del WAF?

/etc/init.d/aaa.local Compatibilidad

¡Gracias!

1 me gusta

Discourse protege contra XSS en publicaciones utilizando múltiples capas de protección.

Incluyendo:

  • CSP
  • Biblioteca especial que solo permite el paso de etiquetas específicas
  • Cocción de markdown (conversión de MD → HTML) en un sandbox.

Nos tomamos los problemas de seguridad increíblemente en serio, puede leer más al respecto en: HackerOne

Su WAF no debería necesitar realizar ningún bloqueo como este.

5 Me gusta