通过未转义HTML属性值的跨站脚本攻击漏洞

漏洞详情

包名: bundler 受影响组件: prosemirror_to_html (RubyGems) 受影响版本: < 0.2.1 修复版本: 0.2.1

漏洞描述

影响

prosemirror_to_html gem 存在通过恶意HTML属性值进行跨站脚本攻击的漏洞。虽然标签内容已正确转义，但属性值未进行转义，攻击者可以借此注入任意JavaScript代码。

受影响对象：

• 使用 prosemirror_to_html 将 ProseMirror 文档转换为 HTML 的任何应用程序
• 处理用户生成的 ProseMirror 内容的应用程序风险最高
• 查看渲染后 HTML 输出的终端用户可能在其浏览器中执行恶意 JavaScript

攻击向量包括：

• 使用 javascript: 协议的 href 属性：<a href="javascript:alert(document.cookie)">
• 事件处理器：<div onclick="maliciousCode()">
• 图片的 onerror 属性：<img src=x onerror="alert('XSS')">
• 其他可以执行 JavaScript 的 HTML 属性

修复方案

补丁

修复程序正在开发中。发布后，用户应升级到 0.2.1 或更高版本。 该补丁使用 CGI.escapeHTML 对所有 HTML 属性值进行转义，以防止注入攻击。

临时解决方案

在提供修补版本之前，用户可以实施以下一种或多种缓解措施：

净化输出：通过 Sanitize 或 Loofah 等净化库传递 HTML 输出：

1
2

html = ProsemirrorToHtml.render(document)
safe_html = Sanitize.fragment(html, Sanitize::Config::RELAXED)

实施内容安全策略：添加严格的 CSP 头部以防止内联 JavaScript 执行：

1

Content-Security-Policy: default-src 'self'; script-src 'self'

输入验证：如果可能，在转换之前验证和清理 ProseMirror 文档，以防止恶意内容进入系统。

参考信息

• 易受攻击的代码：https://github.com/etaminstudio/prosemirror_to_html/blob/ea8beb32f6c37f29f042ba4155ccf18504da716e/lib/prosemirror_to_html.rb#L249
• OWASP XSS 预防备忘单
• CWE-79：在网页生成过程中对输入的不当中和

安全评分

严重程度: 高 CVSS 总体评分: 7.6/10

CVSS v3 基本指标

• 攻击向量：网络
• 攻击复杂度：低
• 所需权限：低
• 用户交互：需要
• 范围：已更改
• 机密性：高
• 完整性：低
• 可用性：无

弱点信息

弱点: CWE-79 描述: 在网页生成过程中对输入的不当中和（跨站脚本） 产品在将用户可控的输入放置到用作提供给其他用户的网页输出中之前，未对其进行中和或错误地进行了中和。