JS_027_HTML_SINKS_CENTRAL_AND_SANITIZED:

Severity: blocker. Bereich: js.

Regel

(kein Regeltext)

Reflection-Check

check:
  applies_when: uses_inner_html == true
  fail: innerHTML rendert gemischte Templates mit untrusted Daten ohne Escape/Sanitizer.
  pass: HTML-Sink ist zentral, statisch oder sanitisiert; dynamische Werte werden
    vorher escaped und Tests decken XSS-Faelle ab.
  remediation: Zentralen renderHtml/escapeHtml/sanitizeHtml Adapter verwenden; Markdown/HTML-Rendering
    nur allowlisted.
  type: dom_sink

Evidence

• OWASP_DOM_XSS, OWASP DOM based XSS Prevention Cheat Sheet
• OWASP_XSS, OWASP Cross Site Scripting Prevention Cheat Sheet

alle Regeln dieses Bereichs