Mensajes entre ventanas: validar origen y contenido

Cuando una ventana llama a postMessage, el navegador entrega a la otra un evento message con tres datos útiles: data, lo que se envió; origin, el origen de la página que lo envió; y source, una referencia a esa ventana. El valor de origin lo pone el navegador y la página emisora no lo puede falsificar. Lo que el navegador no hace es filtrar: entrega el mensaje a cualquier receptor que esté escuchando, venga de donde venga. La decisión de aceptar o descartar es del código del receptor.

Un receptor que no compara origin acepta mensajes de cualquier ventana que tenga una referencia a la página: un marco que ella incrusta, una ventana que la abrió o que ella abrió. Si además pinta lo recibido con innerHTML, el mensaje se convierte en contenido ejecutable dentro del portal: un XSS cuya entrada es otra ventana. La falta de comprobación del origen se clasifica como CWE-346 (error de validación de origen).

Abre receptores.js y origenes-esperados.txt.

Comparar el origen con funciones de texto parciales (contiene, empieza por, termina en) deja pasar orígenes que nadie autorizó: cualquiera puede registrar un dominio cuyo nombre contenga o termine en el texto que se busca. La comparación correcta es de igualdad exacta contra una lista corta de orígenes completos, con esquema y host. Cruza el receptor de resultados con registro-mensajes.txt.

El problema tiene otra cara: el emisor. postMessage recibe como segundo argumento el origen al que se dirige el mensaje, y el navegador solo lo entrega si la ventana de destino tiene ese origen en ese momento. Con "*" se entrega a quien esté ahí. Si la página que envía puede quedar dentro de un marco de un sitio cualquiera, o si la ventana de destino pudo navegar a otra dirección, el dato termina en manos ajenas. Abre emisores.js.

El tercer receptor del archivo es el modelo a seguir: origen exacto, ventana esperada y forma del dato validada antes de usarlo. A eso se suma no pintar nunca el contenido de un mensaje como HTML. Y hay un problema de diseño que ninguna comprobación arregla: un puntaje que decide una contratación no debería llegar por un mensaje del navegador, sino de servidor a servidor.