Cross-Site Scripting in Swift

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in Swift. Side-by-side vulnerable vs secure code examples for Vapor Leaf template contextual escaping.

💡 Explication en Langage Simple (ELI5)

Imaginez coller une note sur le panneau d'affichage du hall disant : 'Toute personne lisant ceci doit donner son portefeuille à la personne à côté d'elle'. Si les visiteurs obéissaient aveuglément à chaque note punaisée, n'importe qui pourrait voler l'argent de tout le monde.

Concepts Clés et Termes

Web Application Security: Composant d'architecture clé affecté par CWE-79.
CWE-79: Classification standard Common Weakness Enumeration (CWE) pour xss-swift.
Defense-in-Depth: Vérification d'ingénierie multicouche et isolation des limites à l'exécution.

Déroulement de l'Attaque Étape par Étape

Step 1

Injection de Payload Script Non Fiable

L'attaquant soumet des balises HTML ou des scripts JavaScript (ex. <script> ou <img onerror=...>) via des formulaires ou paramètres.

Step 2

Interpolation Sans Échappement Contextuel

L'application injecte l'entrée brute dans la réponse HTML sans encodage adéquat des entités HTML.

Step 3

Exécution dans le DOM du Navigateur

Lorsque la victime charge la page, son navigateur interprète le texte comme du code exécutable plutôt que du texte brut.

Step 4

Détournement de Session et Vol de Jetons

Le script malveillant s'exécute dans le contexte de la victime et vole les cookies d'authentification ou les jetons de session.

Code Source : Vulnérable vs Sécurisé

✕ IMPLÉMENTATION VULNÉRABLE

// untrusted HTML loaded with no sanitization
webView.loadHTMLString(
  untrustedHtml, baseURL: nil
)

✓ PATCH SÉCURISÉ ET ROBUSTE

// sanitize before loading
let safeHtml = sanitize(untrustedHtml)
webView.loadHTMLString(
  safeHtml, baseURL: nil
)

Liste de Contrôle de Sécurité pour l'Ingénierie

✓Assainissez et échappez any untrusted HTML before loadHTMLString().
✓Ne jamais register a WKUserContentController message handler on a WebView loading untrusted content.
✓Utilisez toujours a JSON-safe encoding helper, not raw string interpolation, when building evaluateJavaScript() calls.
✓Règle de sécurité recommandée : Migrate any remaining UIWebView usage to WKWebView.