javascriptでの値設定時にサニタイズが必要か？

Question

XSSの対策として、サニタイズの要不要について調査しております。

下記のようなコードの場合、サニタイズが必要でしょうか？
urlに<script>alert(1);</script>が含まれていたとしても、hogeのvalueに入れているため、サニタイズは不要に思っています。
htmlを確認してもvalueに設定されているため、サニタイズは不要に思えています。
※innerhtmlなどで書き換える場合はサニタイズが必要だと思っています。

//html

<form> <input type=“hidden” name=“hoge” > </form>

//javascript
//初期表示
var url = 〜ここに悪意のあるスクリプトが混入される可能性がある〜(Ajaxで値を取得)
document.fotm.hoge.value = url;

XSSについては勉強中なのですが、答えが導き出せないでおります。
要不要の理由も含めて、ご教示いただけますと幸いです。

Answer 1

JavaScriptによりvalueプロパティに代入しているのであれば、XSSにはならないですね。単に、input要素に「a” onmouseover=alert(1)”」と表示されるだけです。
脆弱性診断としては、かなり質の低いものであるように思えます。

Comments

[momo1234567890]

誠にありがとうございます。
情報が開示されず再現方法もわからない状態で困っておりました。
これを機に、より一層勉強に努めたいと思います。
大変ありがとうございました。

Answer 2

質問の意図がわかりかねますがvalue値(プロパティ)を書き換えても
とくにセキュリティの問題は無いと思います
（むしろサニタイズのしようが無いように思えます）

Comments

[momo1234567890]

御回答ありがとうございます。
意図が不明瞭で申し訳ありません。
脆弱性診断で、上記のように、valueに直接値を設定している箇所がXSSの恐れがあるとされました。
調査をすべく、urlにスクリプトが混入する様にして実行しましたが、実行は不可能のように思えてならず、質問させていただきました。
(脆弱性診断については、疑わしい判定も出ることがあるとの情報もあり、真偽について調査を行なっておりました)

理解としましては、value値に設定される値にスクリプトが設定されたとしても、そこはスクリプトとして実行されないとの認識で良いのでしょうか？

今回jspを使用しているのですが、そこで、valueを設定する場合、html自体を生成することになるので、サニタイズが必要という認識であっていますでしょうか？

拙い質問で申し訳ありませんが、今一度御回答いただけますと幸いです。

[ockeghem]

診断報告書には脆弱性の再現手順は書かれていないのでしょうか?

[momo1234567890]

hogeに以下値を入れると反映されるとの情報があるのみとなります。

a” onmouseover=alert(1)”

少し怪しい脆弱性診断との情報もあり、理由が明確に説明出来れば、対応不要となり得るものになります。
今回、JSP上でvalueを設定しておらず、JavaScript上から値を設定しています。
御回答いただいた通り、value値(プロパティ)を書き換える方法では、スクリプトの実行は不可であるなら、指摘の回答として上記理由のため「問題なし」と回答と出来ると考えています。