Laboratorio de concientización · Netblue
Si una web muestra lo que escriben los usuarios sin limpiarlo, alguien puede dejar un comentario con código en vez de texto. Ese código se ejecuta en el navegador de quien lo lea — puede robar su sesión o redirigirlo. Publica un comentario con un payload y compara el modo vulnerable con el que escapa la entrada.
Al mostrar datos del usuario, convierte < y > en entidades para que se vean como texto, no como código.
Una CSP restringe qué scripts puede ejecutar la página, bloqueando los inyectados aunque se cuelen.
Si aceptas formato enriquecido, usa una librería (DOMPurify) que elimine etiquetas y atributos peligrosos.
Marca las cookies de sesión como HttpOnly para que un script no pueda leerlas aunque haya XSS.
Simulación didáctica: esta página NO ejecuta el código que escribes — detecta el patrón y representa el efecto. Siempre inserta tu texto de forma segura.