CWE-80:网页中与脚本相关的HTML标记的不当中和(基本XSS)和CWE-201:在发送的数据中插入敏感信息

Question

我收到名为"的veracode漏洞问题；CWE-80:网页中与脚本相关的HTML标记的不当中和(Basic XSS("；用于以下代码。

var planNumber = <%=request.getParameter("planNumber") %>;
var guid = "<%=trivisionApp.getCustomerGUID() %>";

还有另一种类型的漏洞问题，称为"；CWE-201：将敏感信息插入到发送数据中"；对于以下代码：

<script src="/acumepro/javascript/master2.js?v=<%=trivisionApp.getVersionNumber() %>" type="text/javascript"></script>

如何解决这些漏洞，我目前正在从事JSP相关的项目。

Answer 1

我们可以在"org.owasp.encoder.Encode"；。以下是演示：

<script src="/acumepro/javascript/master2.js?v=<%=Encode.forJavaScript( trivisionApp.getVersionNumber()) %>" type="text/javascript"></script>
var guid = "<%=Encode.forJavaScript(trivisionApp.getCustomerGUID()) %>";