Eine Webanwendung für ein Forum hatte eine Schwachstelle, durch die Skripte in von Nutzern geposteten Texten in den Browsern anderer Besucher ausgeführt wurden. Welche Kombination aus Name dieser Schwachstelle und grundlegender Gegenmaßnahme ist richtig?

Antwort: B. Cross-Site-Scripting (XSS). Bei der Ausgabe geposteter Texte als HTML Zeichen mit besonderer Bedeutung wie < und > maskieren

Cross-Site-Scripting (XSS) ist eine Schwachstelle, bei der eine Webanwendung Nutzereingaben unverändert in HTML ausgibt, sodass ein in der Eingabe enthaltenes Skript als Teil der Seite im Browser der Besucher läuft. Da das Skript als Seite dieser Website läuft, kann es die Sitzungsinformationen der Besucher (Cookies) stehlen oder gefälschte Eingabefelder anzeigen. Die grundlegende Gegenmaßnahme ist, Zeichen mit besonderer Bedeutung wie <, >, & und Anführungszeichen je nach Ausgabekontext zu maskieren (etwa < in &lt; umzuwandeln), damit sie als gewöhnliche Zeichen angezeigt werden. Ergänzend kann man Cookies mit dem Attribut HttpOnly versehen, damit Skripte sie nicht lesen können, und mit einer Content Security Policy einschränken, welche Skripte ausgeführt werden dürfen. HTTPS schützt den Übertragungsweg und kann nicht verhindern, dass ein in eine legitime Seite eingebettetes Skript ausgeführt wird.