Self-XSS

[jonasmoos]

Ich habe eine XSS Schwachstelle in der TScript-IDE gefunden.

Betroffen sind die Funktion cmd_load(...) und cmd_save_as(...). Hier lässt sich der Dateiname ausnutzen mit beispielsweise dem Html-Tag <img src=x onerrror=alert(document.domain)>, um JavaScript auszuführen. Das Problem liegt festlegung des Editor-Namen auf den Dateinamen. Dieser wird mit element.innerHTML in die Seite eingebettet und kann für Cross-Site-Scripting ausgenutzt werden.

Auch wenn das Potenzial der Schwachstelle gering ist, da eine Nutzerinteraktion nötig ist, lässt es sich auf einfach Art und Weise vermeiden, in dem die Festlegung des Namen mit element.innerText erfolgt.

Schritte zum Reproduzieren:

1. Eine Datei mit beliebigem Inhalt erstellen.
2. Diese Speichern-Unter mit dem Namen <img src=x onerrror=alert(document.domain)>
   Auch beim öffnen der Datei wird das Script ausgeführt.

Mit freundlichen Grüßen
Jonas Moos

[Jartreg]

@TGlas Since you fixed this in 6cead9e this issue can be closed.

[TGlas]

Sure :) Sorry, I forgot.