Cẩm Huỳnh

Um problema de injeção de XML existe no codificador do Saxy. O `Saxy.Encoder` não neutraliza a sequência `--` no conteúdo de comentários XML porque a função `escape comment/2` retorna o binário do comentário inalterado em cada cláusula e apenas adiciona um espaço quando o comentário termina em um único `-`. Consequentemente, nem um `--` interno nem um `-->` completo são escapados ou rejeitados antes que o codificador envolva o conteúdo nos delimitadores. Quando uma aplicação serializa texto controlado por um invasor como um comentário através de `Saxy.XML.comment/1` ou um filho de formulário simples bruto `{:comment, text}`, o invasor pode fechar o comentário prematuramente com `-->` e injetar marcações irmãs arbitrárias no documento serializado. Isso permite a execução de cross-site scripting armazenado onde o documento é renderizado como HTML ou SVG, ou a falsificação de dados quando consumido por outro processador XML. Este problema afeta apenas aplicações que serializam texto não confiável usando `Saxy.encode!/2` ou `Saxy.encode to iodata!/2`.

Ocorre uma injeção de XML no codificador XML Saxy porque a função `Saxy.Encoder.cdata/1` serializa nós `{:cdata, characters}` envolvendo caracteres entre `<![CDATA[` e `]]>` sem neutralizar a carga útil. Enquanto outros caminhos escapam metacaracteres XML, o caminho CDATA não trata a substring `]]>`, que é a única maneira de encerrar uma seção CDATA. Um invasor pode fornecer texto não confiável contendo `]]>` para encerrar a seção prematuramente, permitindo que a entrada subsequente seja analisada como marcação XML. Isso possibilita a injeção de elementos e atributos irmãos arbitrários na estrutura do documento. Este problema afeta serviços que geram envelopes SOAP, feeds RSS ou Atom, sitemaps, SVG ou exportações XML a partir de conteúdo fornecido pelo usuário. A vulnerabilidade é acionada ao usar `Saxy.XML.cdata/1` em conjunto com `Saxy.encode!/2` ou `Saxy.encode to iodata!/2`.

O codificador XML não valida nem escapa o alvo e o conteúdo de instruções de processamento, escrevendo-os literalmente no documento de saída. Como a sequência `?>` encerra uma instrução de processamento, um invasor pode usar essa sequência para fechar a construção prematuramente e injetar elementos arbitrários, atributos e outras instruções de processamento no documento serializado. Isso ocorre porque o codificador concatena campos sem verificá-los em relação às restrições da especificação XML. A função `Saxy.XML.processing instruction/2` é um construtor público que permite a herança dessa falha. Isso pode levar à injeção de XML, resultando em registros forjados, folhas de estilo injetadas ou conteúdo ativo quando a saída é processada por um analisador downstream ou navegador. O problema é acionado quando um nó `{:processing instruction, name, content}` é passado para `Saxy.encode!/2` ou `Saxy.encode to iodata!/2` usando entradas não confiáveis.