A mon travail nous utilisons le framework CakePHP pour nos applis. Hier avec un collègue, on a réussi à faire du XSS très facilement dans nos formulaires (l'acces aux applications est interne aux clients mais bon), en rajoute un simple :
Code : Tout sélectionner
<script>
document.location = 'http://www.google.fr';
</script>
La seule solution qu'on a trouvé à la vas-vite est de faire un htmlentities() sur tous nos champs mais vu le nombre de formulaire, ça s'annonce très fastidieux (mais ça règle le problème ^^).
En cherchant dans le CookBook, j ai vu qu'il existant un composant "Security" mais je ne comprends pas trop sa mise en place.
Doc : http://book.cakephp.org/fr/view/324/The ... -Component
Si il y a des gens ayant été confronté à ce soucis, pourriez-vous m'éclaircir un peu sur la marche à suivre ?
Cdlt
.