WSO2 Identity Server 6.1.0存在CVE-2022-29548 XSS漏洞，求处理方案

没错，这个XSS漏洞在WSO2 IS 6.1.0里确实存在，社区里不少开发者都遇到过——就是你测试的这种情况，构造带恶意脚本的error code参数访问登录页会触发弹窗，说明登录页面没对该参数做正确的输入过滤。

下面是经过验证的处理方案：

• 优先应用官方补丁
  WSO2官方针对CVE-2022-29548发布了专门的安全修复，你可以直接升级到包含该修复的版本，或者下载对应版本的补丁包，替换部署目录里的相关文件（比如carbon/admin/login.jsp以及后端处理登录错误逻辑的类文件）。官方修复会从底层对用户可控参数做严格的转义和过滤，彻底解决脚本注入问题。

• 临时手动修复（无法立即升级时）
  如果暂时没法做版本升级，可以手动修改carbon/admin/login.jsp：在获取error code参数值的地方，对参数做HTML实体转义，把'、)、//这类特殊字符转换成对应的HTML实体（比如'转成'，)转成)），确保浏览器不会把参数内容解析成可执行的脚本。

• 加固全局输入校验
  在前端和后端同时加一层输入校验，对所有用户可控的请求参数做检查，只允许符合业务需求的字符传入，直接拦截包含alert、特殊符号组合这类脚本特征的请求，从入口处降低风险。

内容的提问来源于stack exchange，提问作者SRUJAN ANNAM