mdn/content

setHTML() / Sanitizer explictly call out that re-parsing (mXSS) is still a danger

Fermée

#43 386 ouverte le 9 mars 2026

Voir sur GitHubGuide contributeur
 (2 commentaires) (0 réaction) (0 personne assignée)Markdown (23 208 forks)batch import
Content:WebAPIhelp wanted

Métriques du dépôt

Stars
 (10 939 étoiles)
Métriques de merge PR
 (Merge moyen 7j 3h) (147 PRs mergées en 30 j)

Description

MDN URL

https://developer.mozilla.org/en-US/docs/Web/API/Element/setHTML

What specific section or headline is this issue about?

No response

What information was incorrect, unhelpful, or incomplete?

Nothing

What did you expect to see?

I think we should try to explain that it's unsafe to something like this:

div.setHTML(code);
other_div.innerHTML = div.innerHTML

It's also unsafe to use the result of innerHTML save it in a database and serve again without using setHTML.

setHTML can't protect against bugs caused by the HTML code being parsed again (mXSS)

Do you have any supporting links, references, or citations?

https://wicg.github.io/sanitizer-api/#mutated-xss

Do you have anything more you want to share?

No response

Guide contributeur

Direction de recherche
Expliquez que l'utilisation de setHTML() ne protege pas contre les vulnerabilites mXSS lorsque le resultat est reanalyse via innerHTML ou stocke et servi a nouveau sans utiliser setHTML(). Referencez la section sur les XSS mutues dans la specification de l'API Sanitizer.
Stack technique
javascripthtml
Domaine
documentation
Type d'issue
Documentation
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
1
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Moins d'une heure
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Aucun
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
90