Cross-Site Scripting: SAPUI5 Control

검증되지 않은 데이터를 웹 브라우저에 보내면 브라우저가 악성 코드를 실행하는 결과를 초래할 수 있습니다.

XSS(Cross-Site Scripting) 취약점은 다음 경우에 발생합니다.

1. 신뢰할 수 없는 소스를 통해 데이터가 웹 응용 프로그램에 입력됩니다. SAPUI5에서는 다른 컨트롤을 확장함으로써 사용자 지정 컨트롤을 만들 수 있습니다. 이러한 컨트롤은 일반적인 용도로 사용하기 위한 것이므로 개발자는 사용자 제어 데이터가 해당 속성 중 하나에 전달될 것을 예상해야 합니다.


2. 데이터는 검증 없이 웹 사용자에게 전달된 동적 콘텐트에 포함됩니다. SAPUI5 컨트롤의 경우, 악성 콘텐츠가 컨트롤의 일부로 렌더링됩니다.

SAPUI5 컨트롤에 있는 악성 콘텐트는 JavaScript 세그먼트 형식이거나 브라우저에서 실행되는 기타 코드 유형입니다. SAPUI5 컨트롤은 일반적으로 반복해서 재사용되므로 응용 프로그램의 인스턴스가 악성 데이터를 컨트롤에 직접 전달할 수는 없지만, 이는 표준 DOM 기반 XSS 취약점과 동일하게 취급되어야 합니다. 응용 프로그램 코드의 사소한 변경으로 인해 악성 정보가 전달될 수 있습니다. 유일한 예외는 sap.ui.core.HTML 컨트롤의 content 속성과 같이 컨트롤이 HTML을 안전하지 않게 동적으로 생성할 때입니다.

예제 1: 사용자 지정 컨트롤 고려:

sap.ui.define([
  'sap/ui/core/Control'
], function (Control) {
  return Control.extend('CustomControl', {
      metadata: {
          properties: {
              foo: { type: 'string', defaultValue: '' }
          }
      },
      renderer: {
          render: function (oRm, oControl) {
              oRm.write('<div>' + oControl.getId() + ':' + oControl.getFoo() + '</div>')
          }
      },
      init: function () { }
  })
})

foo 속성은 DOM에 직접 렌더링되는 응용 프로그램의 다른 부분에서 사용자 제어 데이터를 전달받을 수 있습니다.

이 코드 예는 foo 속성에 전달된 정보에 표준 영숫자 텍스트만 포함된 경우 올바르게 작동합니다. foo가 메타 문자나 소스 코드가 포함된 값을 갖는 경우에는 이 컨트롤이 렌더링될 때 브라우저가 실행하도록 코드가 DOM에 추가됩니다.