Cross-Site Scripting: SAPUI5 Control

未検証のデータを Web ブラウザーに送信すると、結果としてブラウザーで悪意のあるコードが実行される可能性があります。

次の場合に、Cross-Site Scripting (XSS) の脆弱性が発生します。

1.信頼できないソース経由でデータが Web アプリケーションに入り込んだ場合。SAPUI5 では、他のコントロールを拡張してカスタム コントロールを作成することができます。これらのコントロールは一般的な使用を目的としているため、開発者はユーザーが制御するデータがその属性の 1 つに渡されることを想定する必要があります。


2.未検証で Web ユーザーへ送信される動的コンテンツにデータが含まれている場合。SAPUI5 コントロールの場合、悪意のあるコンテンツがコントロールの一部としてレンダリングされます。

SAPUI5 の悪意のあるコンテンツは、JavaScript の一部という形態か、ブラウザーが実行するあらゆるタイプのコードの形態を取っています。SAPUI5 コントロールは汎用的に何度も再利用されることが想定されているため、アプリケーションのインスタンスが悪意のあるデータをコントロールに直接渡すことはないかもしれませんが、これは標準的な DOM ベースの XSS の弱点と同じように扱う必要があります。アプリケーション コードのわずかな変更により、悪意のある情報が渡される可能性があります。唯一の例外は、sap.ui.core.HTML コントロールの content プロパティなどの、コントロールが動的に安全でない HTML を生成する場合です。

例 1: カスタム コントロールの検討事項:

sap.ui.define([
  'sap/ui/core/Control'
], function (Control) {
  return Control.extend('CustomControl', {
      metadata: {
          properties: {
              foo: { type: 'string', defaultValue: '' }
          }
      },
      renderer: {
          render: function (oRm, oControl) {
              oRm.write('<div>' + oControl.getId() + ':' + oControl.getFoo() + '</div>')
          }
      },
      init: function () { }
  })
})

foo 属性は、アプリケーションの別の部分からユーザーが制御するデータが渡される場合があり、そのデータは DOM に直接レンダリングされます。

このコード例は、属性 foo に渡される情報が標準的な英数字のテキストのみを含む場合に正しく動作します。foo にメタ文字またはソース コードが含まれている場合、コードがレンダリングされると、このコードがブラウザーの DOM に追加されて実行できるようになります。