使用img
标签加载不受信任的SVG文件时,是否存在XSS攻击的威胁?
例如:<img src="untrusted.svg"/>
我已经阅读过大多数浏览器会禁用通过img
标签加载的svg文件中的脚本。
使用img
标签加载不受信任的SVG文件时,是否存在XSS攻击的威胁?
例如:<img src="untrusted.svg"/>
我已经阅读过大多数浏览器会禁用通过img
标签加载的svg文件中的脚本。
这在一些浏览器中曾经有效,但现在不再有效。然而,有一个相关的问题。如果我作为一个不知情的用户,右键单击并下载图像,然后在本地打开它,它很可能会在浏览器中打开,并运行脚本。考虑到它是一张图片,这有点奇怪。我想,如果你右键选择“查看图像”,也可能导致脚本运行,因为你直接打开了它。