حدود هذا الفحص
ما الذي يطلبه تَحَصَّنْ؟
يحلل نسخة محدودة من HTML الثابت للصفحة النهائية ولا يحمّل الموارد أو يشغل JavaScript.
متى تنطبق القاعدة؟
- A parseable HTML response can be inspected for script elements without a src attribute.
متى لا تنطبق؟
- The response is not parseable HTML or script markup could not be inspected.
اختبار الاستغلال
غير منطبق على هذه القاعدة
ما الذي يرصده؟
يعد عناصر script القابلة للتنفيذ التي لا تحمل src ويستبعد أنواع كتل البيانات المعروفة.
العبارات التقنية التالية مرتبطة بكتالوج المنهجية وإصدار القاعدة، لذلك تُعرض باتجاه LTR مع شرح عربي محيط بها.
- Count of executable-type script elements without a src attribute in the observed HTML
ماذا تثبت الملاحظة؟
- That executable-type inline script elements are present in the response markup.
ماذا تعني نتيجة الاجتياز؟
تعني أن الشرط المسمى اجتاز على الاستجابة المرصودة فقط. لا تصف أمان الموقع كله ولا تختبر المسارات الأخرى.
ماذا تعني نتيجة المراجعة؟
تعني وجود حقيقة أو إشارة تحتاج إلى قراءة الدليل وسياق التطبيق. لا تعني تلقائياً وجود ثغرة قابلة للاستغلال.
توضيحات تمنع المبالغة
- وجود السكربت المضمّن جرد معلوماتي لا ثغرة.
- لا يختبر الفحص تنفيذ السكربت أو مصدره أو nonce/hash، ولا يدمج العدد مع قرار CSP.
الأثر المحتمل
لا يوجد ضرر من العدد وحده؛ يلزم مسار حقن يتحكم به مهاجم وسياسة تنفيذ تسمح به وسياق تطبيق قابل للتأثر.
الشروط اللازمة لحدوث ضرر
- أن يُحمّل المتصفح المورد أو ينفذ الشيفرة ضمن المسار الفعلي.
- وجود سياق تطبيق يجعل المصدر أو المحتوى غير موثوق أو قابلاً للتحكم.
ما لم يُختبر أو يُثبت
- That the scripts executed or are attacker-controlled
- That XSS exists
- That CSP permits or blocks the scripts
- That a nonce or hash is valid
قيود القاعدة
- The count excludes recognizable data-block script types but does not execute code, inspect script purpose, or combine the inventory with CSP; CSP is evaluated by its separate rule.
الإجراء المقترح
مراجعة المعلومة
- Review inline scripts together with the effective CSP and application architecture.
الفائدة المتوقعة
- Supports intentional CSP design without labeling normal framework output as a vulnerability.
أمثلة تمنع التفسير الخاطئ
An inline script carries a per-response nonce allowed by script-src.
Its presence is inventory; the count alone does not show that arbitrary inline script can execute.
مراجع للتعلم
هذه المراجع تشرح المفهوم ولا تدخل وحدها في قرار القاعدة، ولا تثبت ثغرة أو امتثالاً.