¿Cual es el grado de peligro del HTML?

[raulfw]

Supongamos que permito que en mi web, la gente pueda añadir HTML de forma libre y sin filtrar.

Ahora supongamos que algun capullo añade HTML malicioso a mi pagina.

La pregunta seria...

¿Que es LO PEOR que le puede pasar a mi web o al usuario que visite esa pagina?

MUCHAS GRACIAS.

[zerokilled]

buenas.
todo dependerá hasta que punto le concedes las habilidades al usuario. html por si solo no es nocivo. sin embargo, si puede introducirse errores indeseables que podría causar malos ratos. por ejemplo, una etiqueta mal cerrada o mal utilizada podría cambiar la estructura de tu sitio web. también podría traerse contenido indeseable a través de los marcos o incluso hacer una especie de loop infinito con los marcos. el mayor problema viene con los scripting. permitir que un usuario escriba algún script deliberadamente podría afectar seriamente a todos los visitantes. tanto en forma de uso como comprometer la privacidad del mismo. como ves, todo depende hasta que punto le concedes los permisos. si quieres permitir que el usuario ingrese código html debes filtrar el contenido de modo que solo permita una serie de elementos definidos por tí, más eliminar los atributos.

[ZoroRoronoa]

En cuanto al servidor, no habra problemas.

Y bien como dice Zero, esto afectaría mas que nada a las visitas.
Con html, agregando un meta refresh, te consumeria demasiado ancho de banda, y podria redireccionar a todos tus usuarios a otra direccion.

[raulfw]

Ok. Me ha quedado claro. No poner filtros es mas peligroso de lo que me pensaba...

MUCHAS GRACIAS.

[NSD]

si no quieres filtrar puedes mostrar el texto que alla ingresado (sea cual fuera script o no) dentro de un textarea de esta manera no se ejecutara ni interpretara, al textarea lo desabilitas y con css lo camuflas para que nadie note que no es "parte de la pagina" aunque claro, las etiquetas <b></b> (por dar un ejemplo) se veran y el texto no estara en negrita. si no quieres filtrar puedes hacer eso y advertir que no usen html en los comentarios porque no servira de nada.
vi alunas web que usan este metodo y realmente no lo notas si no te fijas en su codigo fuente.
espero haber aportado algo saludos

[webosiris]

el grado de peligro es alto. Pueden
- incluir un iframe con código malicioso (virus, etc)
- incluir directamente javascript. Con javascript se puede hacer cualquier cosa, desde modificar mínimamente el sitio hasta por ejemplo incluir un falso formulario de "ingresa con facebook" y así robar los usuarios y contraseña de los usuarios, etc... el nivel de maldad está limitado solo por tu imaginación.

[IsaBelM]

para resumir todo lo dicho. prevenir ataques xss