首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

KindEditor开源富文本编辑框架XSS漏洞

0×01 前言 KindEditor 是一套开源的在线HTML编辑器,主要用于让用户在网站上获得所见即所得编辑效果,开发人员可以用 KindEditor 把传统的多行文本输入框(textarea)替换为可视化的富文本输入框...解码后,我们可以看到开发人员在本地对尖括号进行了HTML编码,上burp,直接截取重放,过了客户端编码。...这就意味着服务端是过了,但是KindEditor对输出的内容进行了转义,使其不能作为标签插入HTML页面中。 接着又尝试输入空标签 ?...分析原因,应该是,在我们的标签插入html文档中的时候,整个页面已经load完成了,所以标签并没有执行。...0×05 防范措施 在开发过程中开发人员不能过度依赖第三方库所做的防范,还是需要在内容输出时进行Html编码,或者完善已有的过滤规则,从而杜绝类似的注入攻击。

2.6K80
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    ProseMirror - 模块化的富文本编辑框架

    关于富文本编辑器,很多同学没用过也听过了。是大家都不想去踩的坑。到底有多坑呢? 我这里摘了一部分一位大哥在知乎上的回答[1],如果有兴趣,可以去看看。...在prosemirror结构与HTML的Dom结构之间,需要一次解析与转化,这两者间相互转化的「桥梁」,就是我们的schema,所以要先了解一下prosemirror的文档结构。...没有内容的叶节点(例如image)也算一个标记 例如有一个HTML片段为 One Two文本 } marks是 { em: {...} // link: {...} // strong: {...} // code: {...}...最常见的选择类型是TextSelection,用于游标或选定文本。prosemirror还支持NodeSelection,例如,当你按ctrl / cmd单击某个Node时。

    2K20

    UILabel加载html文本

    https://blog.csdn.net/u010105969/article/details/53163142 最近项目更改需求,要用UILabel加载html文本(leader看了京东、天猫商城要实现其图文详情页面的效果...笔者在看了那些商城的相应页面之后发现它们的实现方式并不是利用UILabel加载html文本的方法。本人感觉UILabel加载html文本并不好,现在有WKWebView是比较好用的。...之所以利用UILabel加载html文本,leader们是希望能够图文混排。...既然会出现图片,那么用户就可能点击图片放大图片看些内容,然而利用UILabel加载的html文本显示的图片不能点击(目前笔者没有能点击UILabel上图片的方法)。...同样是自适应Label高度,让UILabel的高度根据html文本内容来设置UIlabel的高度。

    2.9K20

    Qt Style Sheet实践(四):行文本编辑框QLineEdit及自动补全

    导读       行文本输入框在用于界面的文本输入,在WEB登录表单中应用广泛。一般行文本编辑框可定制性较高,既可以当作密码输入框,又可以作为文本过滤器。...于是这篇博文主要讲解如何对行文本编辑框QLineEdit进行定制。 基本定制       为了简化工作,还是如同前面所说的,直接用Qt Designer拖一个QLineEdit进行编辑。...font-size: 14px ; # 文本的大小 } QLineEdit:hover { border: 1px solid blue; # 鼠标悬停时,我们将编辑框的边框设置为蓝色 }...下面我们来看看行编辑框的另外一个应用:密码输入框。在默认情况下,当行编辑框用于密码输入时,其效果如下: ?      ...文本编辑框的自动补全功能在数据过滤器中使用较为常见,用于过滤不相干数据直奔目标数据。在WEB表单中也经常可以看到其的身影,如下是腾讯某产品的一个注册页面: ?

    2.8K80

    IT课程 HTML基础 011_文本

    HTML 提供了大量的文本标签,以供我们在制作网页时使用。这些标签可以帮助我们更好地组织和格式化我们的文本内容。以下是一些常用的 HTML 文本标签。...超链接不必一定是文本,图片或其他 HTML 元素都可以成为链接。 默认情况下,链接将以以下形式出现在浏览器中: 一个未访问过的链接显示为蓝色字体并带有下划线。 访问过的链接显示为紫色并带有下划线。...在 HTML 4 中, 标签必须包含斜杠; 在 HTML 5 中,斜杠是可选的。 加粗 元素是一种基本的文本样式标签,用于将文本设定为粗体,但没有强调文本的语义。...小结] HTML 5 中,下划线元素 被弃用了。这意味着它仍然是有效的 HTML 元素,但它不被推荐使用。...示例: 这是一个删除线文本 效果: HTML5 中删除线元素 被弃用了。这意味着它仍然是有效的 HTML 元素,但它不被推荐使用。

    10110

    初识HTML(超文本标识语言)

    HTML(超文本标记语言)是构建网页的基础语言。每个网站都是由 HTML 代码构成的,并且它能够决定网页的结构和内容。...HTML,全称为 HyperText Markup Language,即超文本标记语言,是用于创建网页和用户界面的标准标记语言。HTML 通过使用标记(即标签)来定义网页的内容和结构。...以下是一些主要HTML版本之间的差异对比: HTML 2.0: 发布于1995年11月。 最早被广泛采用的HTML版本之一。 引入了基本的文本和链接标记,如标题、段落、列表和链接等。...数据库和服务器设置: 如果HTML内容是动态生成的,确保从数据库中检索和保存文本时,数据库和服务器使用UTF-8编码,以防止出现乱码问题。...中文文本的直接输入: 在HTML文件中直接使用中文文本是允许的,只需确保文件保存为UTF-8编码并且正确声明了字符编码即可。

    16710
    领券