Cross-Site Scripting in Rust

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in Rust. Side-by-side vulnerable vs secure code examples for Askama, Tera auto-escaping, and Actix-web HTML rendering.

💡 Explicación en Lenguaje Sencillo (ELI5)

Imagina clavar una nota en el tablón de anuncios del vecindario que diga: 'Quien lea esto, entregue su cartera a la persona que tiene al lado'. Si los vecinos obedecieran ciegamente cada cartel colgado, cualquiera que pusiera una nota podría robar el dinero de todos.

Conceptos Clave y Términos

Web Application Security: Componente de arquitectura central afectado por CWE-79.
CWE-79: Clasificación estándar Common Weakness Enumeration (CWE) para xss-rust.
Defense-in-Depth: Verificación de ingeniería multicapa y aislamiento de límites en tiempo de ejecución.

Flujo de Ataque Paso a Paso

Step 1

Inyección de Carga Maliciosa de Script

El atacante inyecta etiquetas HTML o scripts (ej. <script> o <img onerror=...>) a través de formularios o parámetros URL.

Step 2

Interpolación en el DOM Sin Escapar

La aplicación web refleja la entrada en el HTML de respuesta o la almacena sin codificación contextual de entidades HTML.

Step 3

Interpretación y Ejecución en el Navegador

Cuando una víctima visita la página, su navegador interpreta los caracteres inyectados como instrucciones ejecutables.

Step 4

Secuestro de Sesión y Robo de Credenciales

El script inyectado accede a document.cookie, tokens en almacenamiento local y envía solicitudes autenticadas en nombre de la víctima.

Código Fuente: Vulnerable vs. Seguro

✕ IMPLEMENTACIÓN VULNERABLE

// format! has no HTML awareness
let body = format!(
  "<div>Welcome, {}</div>", name
);

✓ PARCHE SEGURO Y ROBUSTO

// Askama auto-escapes .html templates
#[derive(Template)]
#[template(path = "welcome.html")]
struct Welcome<'a> { name: &'a str }
// welcome.html: <div>Welcome, {{ name }}</div>

Lista de Verificación de Seguridad para Ingeniería

✓Práctica de seguridad recomendada: Render HTML through an auto-escaping template crate (Askama, Tera) — never build it with format!.
✓Asegúrese de que each template's escape mode explicitly rather than assuming it from the file extension.
✓Práctica de seguridad recomendada: Apply HTML-context escaping on top of JSON serialization when embedding data in a <script> block.