Cross-Site Scripting: SAPUI5 Control

El envío de datos no validados a un explorador web puede dar lugar a que este ejecute código malintencionado.

Las vulnerabilidades Cross-Site Scripting (XSS) se producen cuando:

1. Los datos entran en una aplicación web a través de un origen no confiable. En SAPUI5 puede crear controles personalizados extendiendo otros. Dado que estos controles están pensados para su uso genérico, el desarrollador debería esperar que los datos controlados por los usuarios se pasen a uno de sus atributos.


2. Los datos se incluyen en el contenido dinámico que se envía a un usuario web sin validación. En el caso de un control de SAPUI5, el contenido malintencionado se procesa como parte del control.

El contenido malintencionado en un control de SAPUI5 adopta la forma de un segmento de código JavaScript o cualquier otro tipo de código que el explorador ejecute. Dado que se supone que los controles de SAPUI5 generalmente se reutilizan una y otra vez, una instancia de una aplicación podría no pasar directamente datos maliciosos al control, pero se debería tratar de igual modo como una deficiencia estándar de XSS con base en DOM. Un cambio trivial en el código de la aplicación podría suponer un traspaso de información maliciosa. La única excepción se da cuando el control genera dinámicamente HTML de forma insegura, tal como el de la propiedad content de control de sap.ui.core.HTML.

Ejemplo 1: Considere el control personalizado:

sap.ui.define([
  'sap/ui/core/Control'
], function (Control) {
  return Control.extend('CustomControl', {
      metadata: {
          properties: {
              foo: { type: 'string', defaultValue: '' }
          }
      },
      renderer: {
          render: function (oRm, oControl) {
              oRm.write('<div>' + oControl.getId() + ':' + oControl.getFoo() + '</div>')
          }
      },
      init: function () { }
  })
})

El atributo de foo puede pasarse con datos controlados por el usuario desde otra parte de la aplicación que deberá ser procesada directamente en el DOM.

Este ejemplo de código funciona correctamente si la información pasada al foo de atributo contiene solo texto alfanumérico estándar. Si foo tiene un valor que incluye metacaracteres o código fuente, una vez que el control se haya procesado, el código se agrega al DOM para que el explorador lo ejecute.