SVG ファイルの安全なコンテンツセキュリティポリシーの設定

  • リリースバージョン: Washingtondc
  • 更新日 2024年02月01日
  • 読む1読むのに数分

    • このプロパティ com.glide.csp.self_script_src_svg は、翻訳メモリインデックス(IIX)ファイル拡張子を介してスケーラブルベクトルグラフィックス(SVG)にアクセスするときに、 script-src none ディレクティブを HTTP コンテンツセキュリティポリシーヘッダーに追加します。

    このプロパティは com.glide.csp.self_script_src_svg 、クロスサイトスクリプティング (XSS) 攻撃を格納する悪意のある添付ファイルがインスタンスで実行されるのを防ぎます。このポリシーがないと、悪意のあるアクターがユーザーの Web ブラウザーで任意の JavaScript コードを実行し、データ流出やセッションの乗っ取りなどのセキュリティの脆弱性につながる可能性があります。

    詳細情報

    属性 説明
    構成名 com.glide.csp.self_script_src_svg
    構成タイプ システムプロパティ (/sys_properties_list.do)
    データタイプ ブーリアン
    推奨値 true
    デフォルト値 true
    カテゴリ 検証、サニタイズ、およびエンコーディング
    セキュリティリスク
    • 重大度スコア：7.1
    • CVSS スコア：高
    • セキュリティリスクの詳細:このプロパティを推奨値の true に設定しないと、ユーザーが悪意のあるアクターから任意の JavaScript コードを実行する可能性があります。
    依存関係と前提条件 なし
    機能への影響度 このプロパティは、Scalable Vector Graphics (SVG) ファイルが外部スクリプトにアクセスするのを防ぎます。