Sicurezza del post code

Ciao Discourse,
Modifica: Ero solito pubblicare la mia domanda su Posting code or preformatted text.

Nella mia installazione self-hosted di Discourse, abbiamo un WAF (Web Application Firewall) davanti all’installazione. Ha regole più restrittive per impostazione predefinita che a volte impediscono agli utenti di pubblicare codice formattato. Ad esempio, le modifiche che contengono /etc/init.d vengono considerate un problema di sicurezza. La mia domanda è come la funzionalità di testo preformattato garantisca di per sé qualsiasi tipo di XSS o attacco tramite codice. O il core di Discourse protegge il codice inviato evitando problemi di sicurezza? Posso consentire tutti i post contenenti snippet di codice in sicurezza, in modo da poter regolare le regole del WAF?

/etc/init.d/aaa.local Compatibility

Grazie!

1 Mi Piace

Discourse protegge contro XSS nei post utilizzando più livelli di protezione.

Incluso:

  • CSP
  • Libreria speciale che consente solo il passaggio di tag specifici
  • Conversione del markdown (da MD → HTML) in un sandbox.

Prendiamo molto sul serio i problemi di sicurezza, puoi leggere di più a riguardo su: HackerOne

Il tuo WAF non dovrebbe bloccare nulla di simile.

5 Mi Piace