• Markdown内の生HTMLを許可している

• 危険なURLスキームを許可している

• Markdown変換後のHTMLを未検証で表示している

• Mermaidや数式レンダラーへ未検証データを渡している

• サニタイズ後のHTMLを再加工している

• プラグインが独自HTMLを生成する

推奨する流れは次のとおりです。

Markdown入力
        ↓
Markdownパーサー
        ↓
HTMLへ変換
        ↓
保守されたHTMLサニタイザー
        ↓
表示

Log Viewer XSS

アクセスログや攻撃ログには、攻撃者が制御できる値が多数含まれます。

• URI

• User-Agent

• Referer

• Host

• Cookie

• HTTPヘッダー

• エラーメッセージ

• リクエスト本文

これらをSOC画面や管理画面でHTMLとして表示すると、Blind Stored XSSが発生します。

攻撃文字列を表示する場合は、コードブロック風の見た目であっても、DOM上では必ずテキストとして描画します。

XSSと間違えやすい攻撃