Une application web de forum présentait une vulnérabilité par laquelle des scripts contenus dans des textes publiés par des utilisateurs s'exécutaient dans le navigateur des autres visiteurs. Quelle combinaison indique correctement le nom de cette vulnérabilité et sa contre-mesure fondamentale ?

Réponse : B. Cross-site scripting (XSS). Échapper les caractères ayant une signification particulière, comme < et >, lors de la sortie des textes publiés en HTML

Le cross-site scripting (XSS) est une vulnérabilité dans laquelle une application web insère telle quelle la saisie d'un utilisateur dans le HTML, si bien qu'un script contenu dans cette saisie s'exécute dans le navigateur des visiteurs comme une partie de la page. Comme le script s'exécute en tant que page de ce site, il peut voler les informations de session du visiteur (cookies) ou afficher de faux champs de saisie. La contre-mesure fondamentale consiste à échapper les caractères ayant une signification particulière, comme <, >, & et les guillemets, selon l'endroit où ils sont produits (par exemple en convertissant < en &lt;), afin qu'ils s'affichent comme de simples caractères. Parmi les mesures complémentaires figurent l'attribut HttpOnly sur les cookies, pour que les scripts ne puissent pas les lire, et la restriction des scripts autorisés à s'exécuter au moyen d'une Content Security Policy. HTTPS protège le canal de communication et ne peut pas empêcher l'exécution d'un script incorporé dans une page légitime.