Cross-Site Scripting: Self

El envío de datos no validados a un explorador web puede dar lugar a que este ejecute código malintencionado.

Las vulnerabilidades Cross-Site Scripting (XSS) se producen cuando:

1. Los datos entran en una aplicación web a través de un origen no confiable. En el caso de XSS autoinfligido, los datos se leen desde un cuadro de texto u otro valor que se puede controlar desde el DOM y escribirse nuevamente en la página con código del cliente.


2. Los datos se incluyen en el contenido dinámico que se envía a un usuario web sin validación. En el caso de XSS autoinfligido, el contenido malintencionado se ejecuta como parte de la modificación de DOM (Modelo de objetos de documento).

El contenido malintencionado en el caso de XSS autoinfligido adopta la forma de un segmento de código JavaScript o cualquier otro tipo de código que el explorador ejecute. Un XSS autoinfligido es principalmente un ataque propio, no suele considerarse importante, pero debe tratarse igual que una deficiencia de XSS estándar si puede producirse alguna de las siguientes situaciones:

- Se identifica una vulnerabilidad de falsificación de solicitud entre sitios en su sitio web.
- Un ataque de ingeniería social puede convencer a un usuario de atacar su propia cuenta y comprometer su sesión.
Ejemplo 1: Considere el formulario HTML:

<div id="myDiv">
  Employee ID: <input type="text" id="eid"><br>
  ...
  <button>Show results</button>
</div>
<div id="resultsDiv">
  ...
</div>

El siguiente segmento de código jQuery lee un ID de empleado del cuadro de texto y lo muestra al usuario.

$(document).ready(function(){
  $("#myDiv").on("click", "button", function(){
    var eid = $("#eid").val();
    $("resultsDiv").append(eid);
    ...
  });
});

Estos códigos de ejemplo funcionan correctamente si el ID de empleado, de la entrada de texto con ID eid, contiene solo texto alfanumérico estándar. Si eid tiene un valor que incluye metacaracteres o código fuente, una vez que el usuario hace clic en el botón, el código se agrega al DOM para que el explorador lo ejecute. Si un atacante puede convencer a un usuario de introducir una entrada malintencionada en la entrada de texto, esto es solo un XSS basado en DOM.