3

Ao prevenir um ataque XSS (alert(123;)) utilizando o Html.Encode o código em tela fica da seguinte forma:

<select class="combobox" id="xssSelect" name="cmbXss">
<option selected="selected" value="1">&lt;script&gt;alert(123;)&lt;/script&gt;</option>
<option value="2">Opcao2</option>
<option value="3">Opcao3</option>
</select> 

Se vc rodar no IE esse combo funciona perfeitamente, porém no Chrome ele trava e não consigo mudar as opções. Dar para fazer esse teste pelo próprio stackoverflow executando o trecho de código entre o IE e o Chrome.

Nota: Estou usando o Chrome na versão Versão 43.0.2357.81 m

Nota2: O próprio stackoverflow está previnindo ataque XSS quando eu insiro o valor... então segue o valor que estou previnindo no meu código em imagem inserir a descrição da imagem aqui

3
  • Podes sempre usar &frasl; em vêz de /... jsfiddle.net/zdr06mkf
    – Sergio
    Commented 8/06/2015 às 22:01
  • É intencional usar alert(123;) ao invés de alert(123);? Se sim, porque? Commented 8/06/2015 às 22:27
  • @VictorStafusa isso não importa, o comportamento é o mesmo. O valor está assim pois foi um teste intencional de XSS no meu projeto. Commented 9/06/2015 às 12:23

1 Resposta 1

2

Bug da versão atual do Chrome.

Ao executar o mesmo código na versão 42 o erro não acontece.

Já reportei o problema a Google. Caso alguém queira acompanhar, segue o link: https://productforums.google.com/forum/#!topic/chrome-pt/VKJ0UHSbUFQ;context-place=forum/chrome-pt

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .