XSS almacenado

El XSS reflejado vive en un enlace: solo afecta a quien hace clic en una URL preparada. El almacenado se guarda en la base de la aplicacion —aqui, un comentario— y se le sirve a todo el que abre la pagina donde se pinta. No hace falta enganar a nadie para que visite un enlace raro: la pagina normal ya trae el marcado dentro. Por eso el auditor le pone, a igualdad de lo demas, mas severidad que al reflejado.

Mira de donde sale el texto que se pinta: no de la URL de esta visita, sino de algo que se guardo antes.

El reflejo esta en comentarios.php: el texto del comentario se guarda tal cual y, cuando se listan los comentarios, se imprime en el HTML sin codificar. El punto donde se corrige no es la escritura sino la lectura: la salida se codifica cuando se pinta, porque el mismo dato puede ser legitimo guardado y peligroso al mostrarse. Codificar solo a la entrada deja huecos —hay sitios donde el dato aparece sin pasar por esa puerta—; codificar al pintar cubre cada salida.

El auditor confirma el fallo con la evidencia: la pagina guardada muestra que el comentario volvio dentro del HTML sin convertirse en texto.

A veces el campo si debe aceptar algo de formato —negritas, enlaces— y codificar todo lo rompe. Para ese caso el arreglo no es codificar a ciegas sino sanear con una libreria que deje pasar una lista blanca de etiquetas seguras y elimine el resto, en especial el script. El auditor distingue los dos casos: texto plano se codifica entero; texto con formato se sanea con lista blanca. Lo que nunca se hace es confiar en el navegador para que decida que es seguro.

Escribir una lista negra de etiquetas peligrosas a mano es la trampa de siempre: siempre falta una forma de colar un script.

El XSS almacenado tiene su propia nota de triaje en Boletia, con el archivo, el parametro, la clasificacion CWE-79 y el arreglo. Abrela en el laboratorio, confirma que describe el comentario que se pinta sin codificar y lee el codigo del hallazgo con el que cierra.