HTML posten kan Chrome XSS-bescherming triggeren

[b2vjfvj75gjx7]

Alle zoekvelden zijn nu textfields;

[code]<input type="text" name="keyword" class="text" value="" placeholder="Zoek in de site"
autocomplete="off">[/code]

Als je hier [code]type="search"[/code] van maakt, is het semantisch correcter en als extra bonus krijg je op nagenoeg alle virtuele keyboards een zoek-icoon (vergrootglas) te zien op de plek waar nu de [enter] toetst staat (wat weer visuele feedback geeft over de te verwachten actie).

---

Wil je een feature indienen, loop je tegen een bug aan...

Het blijkt dat als ik bovenstaande post probeer te versturen met deze code nog toegevoegd aan het code-veld; o n f o c u s = " t h i s . s e l e c t ( )" dat Chrome dan denkt dat ik een XSS-injectie probeer te triggeren.

(de spaties zorgen er nu voor dat de post wel doorkomt - maar blijkbaar wordt hij ook dubbel gepost).

[ Voor 35% gewijzigd door b2vjfvj75gjx7 op 17-04-2018 15:21 ]

[ACM]

Dat lijkt me eerder een bug in Chrome dan iets dat wij kunnen oplossen.

Wellicht wordt het opgelost we de X-XSS-Protection header weer uitzetten, maar dat is juist een aanbevolen security-header...

[crisp]

Chrome's XSS auditor is gewoon erg naïef en kan daardoor snel voor false positives zorgen. Waarschijnlijk was het niet gebeurd als je [code=html] had gebruikt; de output in de response is dan anders wat betreft het onfocus deel:

HTML:

<input type="text" name="keyword" class="text" value="" placeholder="Zoek in de site"
autocomplete="off" onfocus="this.select()">

[b2vjfvj75gjx7]

ACM schreef op dinsdag 17 april 2018 @ 22:01:
Dat lijkt me eerder een bug in Chrome dan iets dat wij kunnen oplossen.

Wellicht wordt het opgelost we de X-XSS-Protection header weer uitzetten, maar dat is juist een aanbevolen security-header...

Ja, inderdaad - het was (sowieso) geen bug-report - en de fout zit bij Chrome.

Maar ik liep er tegen aan toen ik een feature-report wilde indienen.

Excuses voor het misverstand (Tweakers kan er dus sowieso niets aan doen).

- edit - Ook door de code te wrappen in [ c o d e = h t m l ] gaat Chrome op zijn bek...

Ik heb er maar even on_focus van gemaakt ipv onfocus...

[ Voor 19% gewijzigd door b2vjfvj75gjx7 op 18-04-2018 00:05 ]

[ACM]

Browser issue.