Cross-Site Scripting: SAPUI5 Control

O envio de dados não validados para um navegador web pode causar a execução de códigos mal-intencionados.

Vulnerabilidades de XSS (criação de script entre sites) ocorrem quando:

1. Dados entram em um aplicativo Web por meio de uma fonte não confiável. No SAPUI5, você pode criar controles personalizados ao ampliar outros controles. Como esses controles são projetados para uso genérico, o desenvolvedor deve esperar que os dados controlados pelo usuário sejam passados para um de seus atributos.


2. Os dados são incluídos no conteúdo dinâmico enviado a um usuário da Web sem validação. No caso de um controle do SAPUI5, o conteúdo mal-intencionado é renderizado como parte do controle.

O conteúdo mal-intencionado em um controle do SAPUI5 assume a forma de um segmento de JavaScript ou outro tipo de código que o navegador possa executar. Como controles do SAPUI5 são projetados para serem reutilizados genericamente várias e várias vezes, uma instância do aplicativo pode não passar dados mal-intencionados diretamente ao controle, porém isso deve ser tratado da mesma forma que uma vulnerabilidade convencional de XSS baseado em DOM. Uma mudança trivial no código do aplicativo pode levar à transmissão de informações mal-intencionadas. A única exceção é quando o controle gera dinamicamente HTML de forma não segura, como a propriedade content do controle sap.ui.core.HTML.

Exemplo 1: Considere o controle personalizado:

sap.ui.define([
  'sap/ui/core/Control'
], function (Control) {
  return Control.extend('CustomControl', {
      metadata: {
          properties: {
              foo: { type: 'string', defaultValue: '' }
          }
      },
      renderer: {
          render: function (oRm, oControl) {
              oRm.write('<div>' + oControl.getId() + ':' + oControl.getFoo() + '</div>')
          }
      },
      init: function () { }
  })
})

O atributo foo pode receber dados controlados pelo usuário de outra seção do aplicativo, os quais seriam renderizados diretamente no DOM.

Este código de exemplo opera corretamente quando as informações passadas ao atributo foo contêm somente texto alfanumérico padrão. Se foo tiver um valor que inclua metacaracteres ou um código-fonte, assim que esse controle for renderizado, o código será adicionado ao DOM para o navegador executar.