关键信息 漏洞标题 DOM Text Injection Leads to HTML Reinterpretation and Cross-Site Scripting via powertip 严重性 High 影响的包和版本 Package: powertip.ts (TypeScript) Affected versions: 0 Patched versions: 0 描述 问题: 从DOM节点提取文本并将其解释为HTML可能会导致跨站脚本（XSS）漏洞。具有此漏洞的网页会从DOM读取文本，并将其作为HTML添加到DOM中。将DOM中的文本用作HTML会有效地取消转义文本，从而无效任何对文本进行的转义操作。如果攻击者能够控制安全的已转义文本，则可以利用此漏洞执行跨站脚本攻击。 POC (概念验证) 示例代码: 显示了如何通过控制 属性来利用漏洞执行任意JavaScript代码。 修复建议: 使用 代替 函数，以确保仅将 解释为CSS选择器，而不是HTML，从而防止XSS攻击。 弱点 CWE-79 CWE-116 参考资料 DOM based XSS Prevention Cheat Sheet XSS (Cross Site Scripting) Prevention Cheat Sheet DOM Based XSS Types of Cross-Site Scripting Cross-site scripting 影响 DOM text reinterpreted as HTML Cross-site Scripting