Înapoi la toate verificările

Descrieri produse

Conținut încorporat în descriere — catalog Shopify

Semnalează conținut încorporat direct în descriere și care necesită verificare.

Necesită verificarea taDespre această verificare

Ce înseamnă conținut HTML încorporat prin atributul srcdoc?

Atributul srcdoc al unui iframe poate conține direct markup-ul unui document care va fi pars-at ca HTML în frame. Asta este diferit de un paragraf, un link sau o imagine obișnuită din descriere: în interiorul câmpului este stocat un document încorporat cu propriul markup și propriul context de randare.

MDN tratează srcdoc ca un injection sink atunci când primește șiruri neîncrezătoare și explică importanța sandbox-ului, CSP și Trusted Types. Detectorul PROVEN semnalează prezența formei în catalog; nu afirmă că datele provin de la un atacator, că iframe-ul a rulat nesandboxed sau că magazinul este compromis.

Exemple de conținut încorporat care trebuie înțeles înainte de remediere

Exemplele sunt fictive și omit cod executabil. Ele arată roluri posibile pentru srcdoc, nu demonstrează o vulnerabilitate și nu definesc configurația reală a unui iframe din magazin.

<iframe srcdoc="<p>Instrucțiuni</p>"></iframe>[document HTML inclus direct în atribut]

Chiar și conținutul static schimbă structura descrierii; verifică dacă iframe-ul este necesar sau dacă textul poate fi conținut normal.

Un widget migrat păstrează un iframe cu srcdocVerifică dacă widget-ul mai este suportat și sandboxed

Originea poate fi legitimă, dar configurația și utilitatea actuală trebuie evaluate separat.

Un fragment promoțional este stocat ca document inline în descriereCompară cu o secțiune de temă sau conținut text formatat simplu

Poate exista o alternativă mai ușor de întreținut care nu cere document încorporat.

01

Ce verifică PROVEN?

Verifică forme de conținut care încorporează direct un document sau fragment în descriere.

02

De ce contează?

Conținutul încorporat poate avea structură și comportament separate de textul obișnuit al descrierii.

De ce este srcdoc diferit de HTML-ul obișnuit al descrierii?

srcdoc nu este doar formatare; browserul parsează valoarea ca document HTML al iframe-ului. MDN explică și că relația cu documentul părinte depinde de sandbox și alte politici. De aceea constatarea merită revizuire tehnic mai atent decât un tag de formatare obișnuit.

Pentru comerciant, întrebarea este dacă funcția încorporată este necesară și unde ar trebui administrată. PROVEN nu inspectează această pagină ca un scanner de vulnerabilități și nu concluzionează că prezența atributului înseamnă exploatare.

03

Ce poate face PROVEN?

PROVEN poate pregăti eliminarea controlată a elementului încorporat; cazul trebuie revizuit înainte de aplicare.

Cum tratează PROVEN un iframe cu srcdoc

Fluxul identifică documentul încorporat, verifică scopul și evită transformarea lui automată în alt tip de conținut.

  1. Localizează iframe-ul și srcdocPROVEN păstrează atributul și contextul produsului ca dovezi, fără să execute markup-ul pentru a decide intenția.
  2. Verifică scopul și protecțiileComerciantul stabilește dacă iframe-ul este încă necesar și dacă sandbox-ul, CSP-ul și implementarea aparțin unei componente suportate.
  3. Pregătește eliminarea numai când funcția este clarăDacă documentul încorporat este reziduu, PROVEN poate pregăti eliminarea; dacă funcția este legitimă, migrarea ei necesită o soluție tehnică revizuită.

De ce srcdoc cere revizuire tehnic?

Eliminarea unui iframe poate elimina informație sau funcționalitate. În același timp, păstrarea lui fără a înțelege sandbox-ul și proveniența poate menține o suprafață dificil de administrat.

Constatarea nu dovedește că markup-ul din srcdoc este neîncrezător sau exploatabil. Pentru o concluzie de securitate sunt necesare date despre sursă, politici și context de execuție.

Ce nu spune această pagină

  • Detectorul semnalează prezența formei srcdoc; nu execută documentul pentru a demonstra comportament.
  • Constatarea nu dovedește că iframe-ul este nesandboxed sau că datele sunt controlate de un atacator.
  • Prezența srcdoc nu dovedește XSS, atac ori compromiterea magazinului.
  • PROVEN nu proiectează automat alternativa de temă sau aplicație pentru un embed legitim.
  • CSP, sandbox și Trusted Types sunt controale separate care trebuie evaluate în contextul real.

Întrebări frecvente

Ce face srcdoc?

MDN explică faptul că srcdoc setează markup HTML inline pentru documentul unui iframe, iar browserul parsează valoarea ca HTML.

Este srcdoc întotdeauna vulnerabil?

Nu. Riscul depinde de proveniența datelor, sandbox, CSP și alte controale; prezența atributului nu este o dovadă de exploatare.

Poate PROVEN converti iframe-ul în text?

Nu automat. Conversia poate pierde funcție, layout sau conținut; comerciantul trebuie să decidă ce rezultat este dorit.

De ce este acest detector în catalog quality?

Pentru că atributul este stocat în descrierea produsului și poate fi inventariat și revizuit ca parte a igienei conținutului, fără a pretinde că detectorul este un audit de securitate.

Surse și context independent

Sursele de mai jos explică platforma sau standardele relevante. Ele oferă context pentru interpretare, dar nu demonstrează singure că magazinul tău are această problemă.