contao/import — Issue #2865: Input.php filtert nicht "expression()"
Author: importer
Created: 2011-11-29 20:25:34+00:00
State: open
Labels: Defect, framework

Szenario: Ein (Post) Parameter, soll auf einer folgenden Seite als hidden field wieder ausgegeben werden.

Übergabe des Wertes wie bare91da"style%3d"x%3aexpression(alert(1))"adef49dad53 erzeugt folgende Ausgabe

```

```

und damit im IE einen alert-Dialog.

expression sollte daher in Input.php's xssClean berücksichtigt werden.

Danke,
Fiedsch

--- _Originally created by fiedsch on February 14th, 2011, at 10:25am (ID 2865)_