Всем привет.

Со стороны тестирования найдена уязвимость: Messages can be configured by the user

авторMessages on the site can be controlled by the user. A message such as the following can cause a legitimate user to send his credentials to a malicious site.

Please ensure that the messages can only be produced by the application and cannot be manipulated by the user.

И для примера дана ссылка:

http://qwert:777/a/apex/f?p=A" not found. Please Call 1-800-888-8888.

Если ее открыть - открывается ссобщение в рамках этого приложения. Я так понимаю возможно подсунуть что угодно в url приложения.
А хотелось бы отображать что-то наподобие - 404 Page not found, если такое нет в самом приложении.

Есть идея как это можно устранить?

Заранее спасибо.

SvDev,

в Application - Security Attributes > Session State Protection
вижу только Enabled -> Disabled

Поменял, но разницы не заметил.

В обоих случаях, если подложить тот url, который я указал выше (и для enable и для disable)
http://qwert:777/a/apex/f?p=A" not found. Please Call 1-800-888-8888.

вернется такой результат (см. картинку)

SvDev,

Спасибо!