VeraCode-对name（）的调用包含跨站点脚本(XSS)漏洞

Question

有人能解释为什么VeraCode认为使用name作为公共属性是一个坏主意，并提出一个很好的缓解意见吗？

代码（JavaScript）：

var BatchTask = (function () {
    function BatchTask(batchOrTask, isBatch) {    
        if (isBatch) {
            ...
        }
        else {
            var task = batchOrTask;
            this.name = task.name; // flaw identified on this line
        }
    }
    return BatchTask;
}());

攻击矢量：名称

描述： ，对name（）的调用包含跨站点脚本(XSS)漏洞。该应用程序使用不受信任的输入填充HTTP响应，从而允许攻击者嵌入恶意内容（如Javascript代码），这些内容将在受害者浏览器的上下文中执行。XSS漏洞通常被用来窃取或操纵cookie、修改内容的表示方式和泄露机密信息，并定期发现新的攻击载体。

Answer 1

在与Veracode协商后，他们已经确认这是一个假阴性，是他们将调查的引擎中的一个缺陷。