search

GeoWerkstatt / interlis-model-browser

INTERLIS Model Repo Browser
MIT License
0 stars 1 forks source link

Escape log entries created from user input #195

Closed domi-b closed 5 months ago

domi-b commented 5 months ago

Basierend auf https://owasp.org/www-community/attacks/Log_Injection gibt es folgende Kategorien:

  1. Injection of new/bogus log events (log forging via log injection)
  2. Injection of XSS attacks, hoping that the malicious log event isviewed in a vulnerable web application
  3. Injection of commands that parsers (like PHP parsers) could execute

Um 1. zu beheben, passt dieser PR die Log-Einträge so an, dass Zeilenumbrücke aus dem User Input ersetzt werden. Ich denke nicht, dass 2. und 3. hier anwendbar sind.

Resolves #187