Cross-Site Scripting: Handlebars Helper

O envio de dados não validados para um navegador web pode causar a execução de códigos mal-intencionados.

Vulnerabilidades de XSS (criação de script entre sites) ocorrem quando:

1. Dados entram em um aplicativo Web por meio de uma fonte não confiável. Usando Handlebars, você pode criar auxiliares personalizados que podem ser usados para modificar modelos.


2. Os dados são incluídos no conteúdo dinâmico enviado a um modelo antes de ser renderizado sem validação. No caso de um auxiliar Handlebars, o conteúdo mal-intencionado é renderizado como a saída do modelo.

O conteúdo mal-intencionado em um auxiliar Handlebards assume a forma de um segmento de JavaScript ou outro tipo de código que o navegador possa executar. Como a saída de um modelo Handlebars normalmente é conteúdo HTML a ser passado para o navegador, qualquer conteúdo potencialmente mal-intencionado deve ser tratado como não seguro e validado.

Exemplo 1: Considere o seguinte código auxiliar do Handlebars:

Handlebars.registerHelper('bolden', function (aString) {
  return new Handlebars.SafeString("" + aString + "")
})
// ...
let template = Handlebars.compile('{{bolden someArgument}}')
myElem.innerHTML = template({someArgument: userInput})

O auxiliar bolden recebe os dados controlados pelo usuário userInput. Embora o uso de chaves duplas ({{ e }}) normalmente signifique que a saída será codificada em HTML, nesse cenário, o auxiliar bolden substitui qualquer validação passando a entrada para new Handlebars.SafeString(), fazendo com que a entrada seja renderizada como HTML normal. Quando o HTML retorna de template() ele é passado para a propriedade innerHTML levando a um XSS baseado em DOM.