Actualmente, al evaluar una aplicación, descubrí que es posible enviar un relleno SVG que contenga Javascript (la aplicación también es vulnerable a XXE). Me pregunté si había un método para prevenir esas vulnerabilidades y asegurar el formulario de envío de SVG. ¿Cómo estar seguro de que todos los métodos de ofuscación están atrapados?
En primer lugar, desarrollé un enfoque de lista negra, pero desde un punto de vista de seguridad, es un enfoque muy malo. ¿Qué me aconsejas?
Echa un vistazo a esta publicación de blog fantástica que fue recientemente publicada por el investigador de seguridad Robin (@digininja) sobre esta exacta tema.
Vista directa con disposición de contenido: archivo adjunto - no vulnerable - Se envían encabezados para forzar la descarga del archivo.
Vista directa con CSP (no vulnerable): la Política de seguridad del contenido está configurada para no permitir JavaScript en línea.
Etiquetas de imagen - no vulnerables - Se hace referencia al SVG a través de etiquetas de imagen que impiden las secuencias de comandos.
Etiquetas con CSP (no vulnerables): etiquetas de imagen y el mismo CSP que la anterior para la doble protección.
Lea otras preguntas en las etiquetas obfuscation xss javascript svg xxe