Error Messages. XSS (Visualización de datos reflejados)

jdrodas / AtlasFrutasColombia

Aplicaciones usando C# y Python para demostrar conectividad a PostgreSQL y MongoDB, usando API REST y GraphQL

7 stars 2 forks source link

Error Messages. XSS (Visualización de datos reflejados) #8

Closed SanTacrZ closed 6 months ago

SanTacrZ commented 7 months ago

Errores "NotFound": Las respuestas "NotFound" en GetByIdAsync y GetAssociatedMunicipiosAsync son vulnerables a XSS si el mensaje de error (error.Message) no está codificado.

Si un atacante puede controlar este mensaje, podría inyectar scripts maliciosos que se ejecutan en el navegador del usuario.

// Vulnerable (por ejemplo, no para uso real) return NotFound($"{error.Message}");

En tu controlador DepartamentosController, tienes dos métodos que manejan la respuesta NotFound:

jdrodas commented 6 months ago

Hola @SanTacrZ,

Necesito documentación de como este tipo de vulnerabilidad se logra en este código de la aplicación. Sería muy bueno que me documentaras el caso más detalladamente.

Mientra tanto, este issue no será resuelto.

Saludos,

SanTacrZ commented 6 months ago

Bueno señor