Sécurité : attention aux scripts exécutés dans les pages HTML

Le Cert (1) met en garde les utilisateurs contre des portions de code malveillantes interprétées par les navigateurs Web. Un risque se présenterait lorsque les pages sont générées de façon dynamique à partir d'un contenu non contrôlé par le serveur émetteur. C'est le cas, par exemple, de certains forums de discussion et de listes de diffusion sur la Toile où le contenu est créé à partir d'éléments extérieurs.

Certaines balises HTML, comme "script", "object", "applet" ou "embed", pourraient être utilisées pour lancer à l'insu de l'utilisateur des programmes ou des liens à d'autres pages. Conséquences possibles : corruption d'une session sécurisée par SSL ou envoi de " cookies " frauduleux.

Le Cert recommande aux utilisateurs de désactiver l'exécution de ces scripts dans les préférences du navigateur. Il recommande aux administrateurs de sites de mettre en place des filtres qui détectent et suppriment les balises incriminées.(1) Centre de coordination du Cert (Computer Response Emergency Team) : centre de recherches en sécurité de la Défense américaine.