Mensajería entre ventanas sin validar el origen

Una ventana envía con postMessage(datos, destino). El segundo argumento es el origen al que se quiere entregar: si la ventana de destino ya no está en ese origen (porque navegó a otro sitio), el navegador descarta el mensaje. Con '*' el mensaje se entrega a lo que haya en esa ventana en ese momento, sea quien sea.

La ventana que recibe registra un oyente del evento message. El evento trae origin, el origen real de quien envió, que el navegador rellena y el emisor no puede falsificar, y data, que es lo que el emisor quiso mandar y puede ser cualquier cosa. La regla es simple: el receptor compara origin con el origen esperado, completo y exacto, antes de hacer nada, y trata data como entrada no confiable.

La guía de pruebas web de OWASP trata este canal en su capítulo de pruebas del lado cliente, como prueba de mensajería web.

Abre el laboratorio y lee app-cuenta-extracto.txt. Hay tres receptores registrados en la página de la cuenta. Para cada uno, busca la primera línea dentro de la función: ¿mira evento.origin antes de actuar?

Un receptor que no lo mira acepta órdenes de cualquier página que tenga una referencia a esta ventana, por ejemplo una que la abrió o que la tiene dentro de un marco.

Comprobar el origen con indexOf, includes, startsWith o endsWith sobre un trozo del nombre es casi tan malo como no comprobarlo: el atacante registra un dominio que contenga ese trozo y pasa el filtro. Después mira qué hace el receptor con data. Si lo que llega acaba en una función que escribe HTML, el filtro débil es la única barrera entre un sitio ajeno y la ejecución de código en la página de la cuenta.

Lee también auxiliares-extracto.txt.

El otro lado del canal también falla. Cuando la página envía con destino '*', confía en que la ventana de destino sigue siendo la que abrió. Si esa ventana navegó a otro sitio, o si quien la abrió no era quien se creía, el mensaje le llega igual. Para datos públicos da lo mismo; para una credencial, no.

La corrección tiene que cerrar las dos mitades del problema de ese receptor: quién puede hablarle y qué hace con lo que recibe. ventanas.txt dice cuál es el origen real del widget de pago.