DOMPurify <=3.4.10 钩子污染导致XSS缺陷分析

漏洞概述 DOMPurify 3.4.7 版本中存在一个安全修复（“永久钩子污染”），该修复注册了 钩子以监控 的非持久性突变，从而允许单个元素的属性不会泄漏到其他元素。然而，此修复存在缺陷，当应用程序使用 API 时， 中的克隆守卫被静默绕过，导致 对象被永久污染。 影响范围 受影响版本：DOMPurify <= 3.4.10 修复版本：DOMPurify 3.4.11 严重程度：低 CVE ID：无已知 CVE 弱点：CWE-79, CWE-471, CWE-665 修复方案 修复方案是在 函数中，当 标志为真时，跳过 但注册 钩子时，克隆 和 ，以防止钩子突变持久化。具体代码如下： POC 代码 PoC 1 — 泄漏（信任渲染永久允许 onerror 在攻击者内容上） PoC 2 — 它是 DOMPurify 状态泄漏，而不是“应用允许 ”（属性无关） PoC 3 — 控制：没有 setConfig() 时 3.4.7 守卫有效 持久性（观察到的） 泄漏在 后仍然存在 —— 移除钩子不会清理污染的 allowlist。 它是全局/跨元素的 —— 污染的 allowlist 在 和 上存活，而不仅仅是最初被祝福的 。 它在实例生命周期内持续存在（在后续 5 次默认调用后存活）。 恢复干净状态（这是影响的边界）。 影响 存储型 XSS。在长期运行的 / 同源的 DOMPurify 实例中，单个信任渲染翻转共享 allowlist，随后每次后续非信任渲染都会注入一个事件处理程序属性并在浏览器中执行脚本。由于 DOMPurify 不强制执行 no / noscript 阻止，一个幸存的 on 属性最终没有次要控制阻止执行。onerror 在破损的 src 上触发，无需用户交互（浏览器确认：验证）。 每调用 FORBID_ATTR 不会减轻。防御性 也被忽略，因为 已被调用：每调用配置由 解析， 完全跳过 。因此，应用程序无法通过每调用拒绝来钝化泄漏 —— 污染的 是唯一门控。 现实攻击场景 一个平台混合了管理员驱动的交互式小部件和用户生成的内容，通过一个 sanitizer 实例。 1. 应用程序安装一个持久基线策略，通过 。 2. 注册一个 钩子，启用仅对标记为 的管理驱动元素的事件处理程序，意图仅以交互方式呈现 —— 3.4.7 版本专门为此设计。 3. 管理员渲染一个信任的小部件。从那时起，每个用户提交的评论/帖子包含 通过 sanitizer 并执行给所有查看者。 限制 需要上述两个先决条件（持久 和写入 的钩子）。不是默认配置绕过。 影响由 限制，它恢复干净状态。之前考虑的“ 存活”声明未重现并被撤回。 可以适应位置以使用 。然而，3.4.7 安全修复存在，以精确防御 钩子模式在每调用路径中；留下 路径未受保护是已知安全问题的不完整修复。 验证 完整性：测试的 (md5 ) 和浏览器 (md5 ) 字节相同，与从 npm 包下载的版本相同。机制在 3.4.0、3.4.9 和 3.4.10 中相同。 Node（机制）：PoCs 1-3 按预期运行： 在信任渲染后返回 ，证明共享属性门控被毒化。泄漏在 后存活，跨元素，在实例生命周期内，并在 后重置。 真实浏览器（影响）：在 Chrome 中，DOMPurify 3.4.10 将攻击者输出到 ，执行幸存的 （ ；属性 ），无需用户交互。无 A/B 控制不触发 —— 执行归因于 泄漏，不是锤子工件。 附录 A — Node POC（完整，可运行） 预期输出 附录 B — 浏览器 POC（完整，确认执行） 观察到的

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

DOMPurify <=3.4.10 钩子污染导致XSS缺陷分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

DOMPurify <=3.4.10 钩子污染导致XSS缺陷分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！