오늘의 보안 문제 #15

매일 새 문제가 나옵니다. 코드를 읽고 가장 심각한 보안 취약점을 고르세요.

수식을 계산해 주는 계산기입니다. 공유 링크(?expr=1%2B2)로 수식을 채울 수 있습니다. 가장 심각한 취약점은?

1const input = document.querySelector('#expr');
2const out = document.querySelector('#out');
3input.value = new URLSearchParams(location.search).get('expr') ?? '';
4 
5document.querySelector('#calc').addEventListener('click', () => {
6  out.textContent = eval(input.value);
7});

1. A0 으로 나누면 Infinity 가 나온다
2. BtextContent 대신 innerHTML 을 써야 한다
3. C소수점 계산 오차가 생긴다
4. D주소로 받은 값을 eval 로 실행해, 공격자가 만든 링크를 열고 계산을 누른 사람의 브라우저에서 임의 스크립트가 실행된다 (XSS)