コメント領域でimgタグを許可すると、Wordpressサイトはクロスサイトスクリプティング（XSS）に対して脆弱になりますか？いいです。

Question

私の購読者がコメントに画像を追加できるようにするために this tutorialに従うことを計画しています（実際には "Replies"と呼ばれるカスタム投稿タイプ）。

Wordpressはデフォルトで<img>タグをフィルタリングします（管理者を除く）。

自分のコメントセクションでimg HTMLタグを許可している場合、Wordpressサイトはクロスサイトスクリプティング（XSS）に対して脆弱になりますか？いいえ。

Answer 1

イメージを含めることで、多くの悪事をすることができます。問題は、WordPressがそれらをどの程度適切にフィルタリングするかです。あなたに考えを与えるために：

• ファイル名を正しく確認する必要があります。
• 実際の画像データにはjavascriptを含めることができます。
• また、EXIFデータにはJavaScriptが含まれる可能性があります。