如何解决使用fancybox画廊的图像标题中的js
| 我正在使用fancybox(类似于js弹出库的灯箱)在弹出窗口中显示照片及其标题。用户上传带有提供标题的照片。当以html显示照片时,我也逃脱了照片标题。 html标签很简单:<a href=\"/files/909221123.large.JPG\" title=\"sample image <script>alert(\'test\')</script>\"><img src=\"/files/909221123.medium.JPG\"></a>
如您所见,标题中的js标记已转义。但是,无论何时显示在fancybox弹出窗口中,它都可以运行-我单击该照片,提示js警报弹出窗口,然后显示带有该照片的fancybox弹出窗口。
当然,这是一个XSS问题,但我认为它是如此明显,fancybox首先不应该出现这种排序问题。我在这里做错了吗?以及如何解决?
谢谢。
解决方法
听起来像Fancybox将该字符串视为HTML而不是文本。
您可以破解插件。有一些处理标题的代码,例如...
return \'<table id=\"fancybox-title-float-wrap\" cellpadding=\"0\" cellspacing=\"0\"><tr><td id=\"fancybox-title-float-left\"></td><td id=\"fancybox-title-float-main\">\' + title + \'</td><td id=\"fancybox-title-float-right\"></td></tr></table>\'
如您所见,当title
出现时,它的实体已解析。
否则,您可以使用正则表达式去掉看起来像HTML标记的字符串部分。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。