这个 MustacheJS-Snippen 对 XSS 攻击安全吗？

Question

我有一个带有以下图片的 MustacheJS 模板：

<div class="thumbnail" style='background-image: url({{avatar}});'></div>

{{avatar}} 变量是根据用户输入填充的，无需验证，用户可以输入他们想要的任何内容。

这是安全的，还是有人可以通过它传递一些邪恶的输入并执行 XSS？

Answer 1

我认为样式 XSS 无论如何在现代浏览器中不再适用（IE11 / Edge、最近的 Chrome 或 Firefox 都不会从 CSS 运行 JS）。

所以它也取决于浏览器版本，但即使这不是最佳实践，也很难想出一个真正有效的攻击（而且我对那里的措辞非常谨慎，可能不可能在最近的浏览器中利用这一点）。更是如此，因为正如您在评论中所展示的，Mustache html 会自动编码一些字符。

请注意，IE 可以切换到与X-UA-Compatible 的兼容模式，在这种情况下，它的行为与所选版本完全相同，具有该版本的所有漏洞，但由于 html 编码，它可能仍然无法利用。