Cross-Site Scripting: Handlebars Helper

未検証のデータを Web ブラウザーに送信すると、結果としてブラウザーで悪意のあるコードが実行される可能性があります。

次の場合に、Cross-Site Scripting (XSS) の脆弱性が発生します。

1.信頼できないソース経由でデータが Web アプリケーションに入り込んだ場合。Handlebars を使用すると、テンプレートの変更に使用できるカスタム ヘルパーを作成できます。


2.データが、検証なしでレンダリングされる前に、テンプレートに挿入される動的コンテンツに含まれている場合。Handlebars ヘルパーの場合、悪意のあるコンテンツがテンプレートの出力としてレンダリングされます。

Handlebars ヘルパーの悪意のあるコンテンツは、JavaScript の一部という形態か、ブラウザーが実行するあらゆるタイプのコードの形態を取っています。Handlebars テンプレートからの出力は通常、ブラウザーに渡される HTML コンテンツであるため、悪意がある可能性のあるコンテンツは安全でないものとして扱い、検証する必要があります。

例 1: 次の Handlebars ヘルパー コードを考えてみます。

Handlebars.registerHelper('bolden', function (aString) {
  return new Handlebars.SafeString("" + aString + "")
})
// ...
let template = Handlebars.compile('{{bolden someArgument}}')
myElem.innerHTML = template({someArgument: userInput})

bolden ヘルパーには、ユーザー制御データ userInput が渡されます。二重中カッコ ({{ および }}) の使用は通常、出力が HTML としてエンコードされることを意味しますが、このシナリオでは、出力を new Handlebars.SafeString() に渡すことで、bolden ヘルパーはあらゆる検証をオーバーライドし、結果的に、入力は通常の HTML としてレンダリングされます。HTML が template() から戻ると、innerHTML プロパティに渡され、DOM ベースの XSS につながります。