在Linux上的rich：fileUpload問題上需要幫助

Question

我嘗試在Linux上的應用程序中使用rich：fileUpload時，嘗試上載任何包含HTML代碼的文件名，即"file<img src=xyz onerror=alert('TEST')>Name.png" ，它給了我上載文件前的javascript警報。 我在現場演示中進行了嘗試，並在那里也發現了相同的問題。 如何在Linux上以文件名限制/轉義html / script或XSS的執行？

您可以按照linux上的步驟自己嘗試。

創建一個名稱為"file<img src=xyz onerror=alert('TEST')>Name.png"使用以下URL訪問richfaces展示"file<img src=xyz onerror=alert('TEST')>Name.png" rich：fileUpload演示。 上傳文件，您將看到一個JavaScript警報。

http://showcase.richfaces.org:8000/richfaces/component-sample.jsf?demo=fileUpload&skin=blueSky

Answer 1

我嘗試上傳文件名即“ fileName.png”中包含html代碼的任何文件。

您在文件名中說的是html代碼，但在“ fileName.png”中看不到任何html。

如果我沒記錯的話，文件名應該類似於file<img src=x onerror=alert('Javascript')>.pdf 。