利用mailto链接

Question

假设用户有权在mailto:片段之后包含任何内容，那么是否存在任何可能的安全漏洞？

示例：

用户说他们的电子邮件地址是foo。页面上的链接(每个人都可以看到)是：<a href="mailto:foo">foo</a>。

我很想知道有没有办法利用这个东西。

Answer 1

如果他们把他们的电子邮件

"></a><script>alert("XSS")</script><a href="

该应用程序可能将其呈现为

<a href="mailto:"></a><script>alert("XSS")</script><a href="">"></a><script>alert("XSS")</script><a href="</a>。

产生了一个存储XSS漏洞。

为了防止这种情况，应用程序应该对URL百分比进行编码，然后对电子邮件值进行HTML编码。