如果未使用"data-target"属性，Bootstrap 3.3.7是否安全可靠？

Question

Bootstrap 3.3.7存在一个安全漏洞，它表示："受影响的版本容易受到跨站脚本（XSS）攻击，通过data-target属性进行攻击。" 如果不使用"data-target"属性，那么v3.3.7是否安全可靠呢？

- Wali

---

据我所知，这个问题将在3.4版本中得到解决，您可以使用3.4-dev版本。具体信息请参见https://github.com/twbs/bootstrap/issues/25679#issuecomment-420199818。 - davidkonrad

谢谢。我会尝试的。 - Wali

3.4.0 版本已发布。https://blog.getbootstrap.com/2018/12/13/bootstrap-3-4-0/ - J-C FOREST

Answer 1

所谓“漏洞”只会在data-target值依赖于由外部注入的数据（直接或间接）并且在其他用户受到影响的页面上显示时才会出现。

换句话说，如果所有的data-target属性都是由硬编码的html文本组成，则这不是一个问题。如果此页面仅被攻击者看到（自我黑客...），通常也不是问题。

例如，您还可以说jQuery .html()是一种漏洞，这是一个更明显的案例，但如果您是完全的网络初学者或没有注意，它仍然容易受到XSS攻击。

因此，一般情况下，避免在第三方中注入未转义的用户数据：弹出窗口、工具提示等任何直接在幕后操纵DOM的东西。

我个人认为这不是一个很大的漏洞，但如果像bootstrap这样的著名框架处理这种情况或明确将方法命名为不安全以警告开发人员，则更好。

Chrome审核认为bootstrap 3.3.x是一个漏洞(via synk)。

包含已知安全漏洞的前端JavaScript库

• 如果未使用"data-target"属性，Bootstrap 3.3.7是否安全可靠？
• https://news.ycombinator.com/item?id=14989841

- Christophe Roussy