| 语言 | 消息 |
|---|---|
| de | Semgrep konnte nicht feststellen, dass das Argument von 'template.HTML()' eine Konstante ist. 'template.HTML()' und Ähnliches escapen die Inhalte nicht. Stellen Sie unbedingt sicher, dass sich in diesem Template keine benutzerkontrollierten Daten befinden. Gelangen Benutzereingaben in dieses Template, kann eine XSS-Schwachstelle vorliegen. Verwenden Sie stattdessen nicht diese Funktion, sondern 'template.Execute()'. |
| en | Semgrep could not determine that the argument to 'template.HTML()' is a constant. 'template.HTML()' and similar does not escape contents. Be absolutely sure there is no user-controlled data in this template. If user data can reach this template, you may have a XSS vulnerability. Instead, do not use this function and use 'template.Execute()'. |
| fr | Semgrep n'a pas pu établir que l'argument de 'template.HTML()' est une constante. 'template.HTML()' et les fonctions similaires n'échappent pas le contenu ; soyez absolument certain qu'aucune donnée contrôlable par l'utilisateur ne se trouve dans ce template. Si des données utilisateur peuvent y parvenir, vous avez peut-être une vulnérabilité XSS. Dans le doute, n'utilisez pas cette fonction et effectuez le rendu avec 'template.Execute()'. |
| ja | 'template.HTML()' の引数が定数かどうかを判定できません。'template.HTML()' および同様の関数は内容をエスケープしないため、ユーザーデータがこのテンプレートに到達できると XSS の脆弱性が生じます。テンプレートにユーザー制御可能なデータが含まれていないことを必ず確認してください。確認できない場合は、この関数を使用せず 'template.Execute()' を使用してください。 |
| ko | 'template.HTML()'의 매개변수가 상수인지 확인할 수 없습니다. 'template.HTML()'과 유사한 함수는 내용을 이스케이프하지 않으므로, 사용자 데이터가 해당 템플릿에 도달할 수 있다면 XSS 취약점이 존재합니다. 템플릿에 사용자가 제어할 수 있는 데이터가 절대 없도록 반드시 확인하십시오. 그렇지 않으면 이 함수를 사용하지 말고 'template.Execute()'를 사용하십시오. |
| ru | Не удалось доказать, что аргумент 'template.HTML()' — константа. 'template.HTML()' и подобные функции не экранируют содержимое: если пользовательские данные достигают шаблона, возможна XSS-уязвимость. Убедитесь абсолютно точно, что в шаблоне нет управляемых пользователем данных; иначе откажитесь от этой функции и используйте 'template.Execute()'. |
| zh | 无法确定 'template.HTML()' 的参数是常量。'template.HTML()' 及类似函数不会转义内容，若用户数据能到达该模板就会产生 XSS 漏洞。请绝对确认模板中没有用户可控数据；否则不要使用该函数，改用 'template.Execute()'。 |
| zh-Hant | 無法確定 'template.HTML()' 的參數是常數。'template.HTML()' 及類似函式不會跳脫內容，若使用者資料能到達該範本就會產生 XSS 漏洞。請絕對確認範本中沒有使用者可控資料；否則不要使用該函式，改用 'template.Execute()'。 |
| 语言 | 名称 | 修复建议 |
|---|---|---|
| de | Cross-Site-Scripting (XSS) | Kodieren Sie Ausgaben nach Kontext (HTML/Attribut/JS/URL), lassen Sie die Template-Engine automatisch escapen, verbieten Sie nicht vertrauenswürdiges HTML und konfigurieren Sie CSP. |
| en | — | — |
| fr | Neutralisation inappropriée de l'entrée lors de la génération d'une page web (cross-site scripting) | Encodez la sortie selon le contexte (HTML/attribut/JS/URL), laissez le moteur de templates échapper automatiquement, interdisez le HTML non fiable et configurez une CSP. |
| ja | クロスサイトスクリプティング（XSS） | 出力はコンテキスト（HTML/属性/JS/URL）に応じてエンコードし、テンプレートエンジンによる自動エスケープを利用してください。信頼できない HTML は無効化し、CSP を設定してください。 |
| ko | 크로스 사이트 스크립팅(XSS) | 출력은 문맥(HTML/속성/JS/URL)에 맞게 인코딩하고, 템플릿 엔진의 자동 이스케이프를 사용하며, 신뢰할 수 없는 HTML은 비활성화하고, CSP를 설정하십시오. |
| ru | Межсайтовый скриптинг (XSS) | Кодируйте вывод по контексту (HTML/атрибуты/JS/URL), включайте автоэкранирование шаблонного движка, запрещайте недоверенный HTML и настройте CSP. |
| zh | 跨站脚本（XSS） | 输出按上下文编码（HTML/属性/JS/URL），使用模板引擎自动转义，禁用不可信 HTML，并配置 CSP。 |
| zh-Hant | 跨站指令碼（XSS） | 輸出按上下文編碼（HTML/屬性/JS/URL），使用範本引擎自動跳脫，停用不可信 HTML，並設定 CSP。 |