XSSとウェブコンテンツの編集

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• ウェブコンテンツ編集
  
  コンテンツフィールド にスクリプトを追加して公開すると、記事が表示されたときにスクリプトが実行されます。 ページにアクセスすると、毎回アラートが鳴る。 このようなコンテンツを許可すると、作成者がXSS攻撃を行う手助けをする可能性がある。

Environment

• DXP 7.0 ~ DXP 7.4

解決策

• これは期待される動作である。

• 管理者は、サニタイズすべきコンテンツをホワイトリストおよびブラックリストに登録することができます。

  この場合、 com.liferay.journal.model.JournalArticle
  
  でアンチサミーを有効にする必要があります。

  [DXP 7.4]にアクセスしてください：システム設定] > [セキュリティツール] > [アンチサミー] にアクセスし、[ホワイトリスト] フィールドから com.liferay.journal.model.JournalArticle を削除します。
  
  [DXP 7.0] システム設定に移動します：システム設定 > Foundation > AntiSamy Sanitizerに移動し、ホワイトリストからcom.liferay.journal.model.JournalArticleを削除する。

  
  ウェブコンテンツを再公開すると、警告ウィンドウは表示されなくなります。