[Security] DOM-XSS via innerHTML mit User-Inputs (Dateinamen, Browse) #15

New Issue

2026-05-27T12:21:05+02:00

ferdi2go commented

2026-05-27 12:21:05 +02:00

Problem

index.html:1139 (Folder-Browser):

item.innerHTML = "..." + name;

Auch index.html:1052 (Upload-Liste) baut Dateinamen via Template-String in DOM.

name kommt aus /browse bzw. dem Original-Dateinamen. Ein Ordner/Foto mit HTML-Tags im Namen fuehrt zu Token-Diebstahl ueber sessionStorage.

Fix

item.textContent = name;

Alle innerHTML-Stellen mit User-Inputs pruefen.

## Problem `index.html:1139` (Folder-Browser): ```javascript item.innerHTML = "..." + name; ``` Auch `index.html:1052` (Upload-Liste) baut Dateinamen via Template-String in DOM. `name` kommt aus `/browse` bzw. dem Original-Dateinamen. Ein Ordner/Foto mit HTML-Tags im Namen fuehrt zu Token-Diebstahl ueber sessionStorage. ## Fix ```javascript item.textContent = name; ``` Alle innerHTML-Stellen mit User-Inputs pruefen.

ferdi2go added the security priority: high bug labels 2026-05-27 12:21:05 +02:00

ferdi2go commented

2026-05-27 12:32:37 +02:00

Fix umgesetzt in index.html:

Upload-Liste (Z.1049 alt): row via createElement + textContent, kein Template-String mit User-Input
Folder-Browser-Item (Z.1139 alt): textContent statt innerHTML
Fehleranzeige im Browser: textContent fuer e.message

Hinweis: ein verbleibendes el("fb-list").innerHTML = "" zum Leeren der Liste bleibt - leere Konstante ist kein XSS-Vektor.

Fix umgesetzt in `index.html`: - Upload-Liste (Z.1049 alt): row via `createElement` + `textContent`, kein Template-String mit User-Input - Folder-Browser-Item (Z.1139 alt): `textContent` statt `innerHTML` - Fehleranzeige im Browser: `textContent` fuer `e.message` Hinweis: ein verbleibendes `el("fb-list").innerHTML = ""` zum Leeren der Liste bleibt - leere Konstante ist kein XSS-Vektor.

ferdi2go closed this issue

2026-05-27 12:32:37 +02:00

ferdi2go referenced this issue

2026-05-27 12:59:30 +02:00

[Security] Token in HttpOnly+SameSite-Cookie statt sessionStorage #28

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: ferdi2go/OnlyFrames#15