注目★★★★★Lobsters
タグ名の文字で XSS、HTML のレニエント性が生む脆弱性
30秒で把握
- 1タグ名に隠した JavaScript が XSS 実行、ブラウザ全体で動作・複数ベクトル確認
- 2localName・part・classList などのプロパティが文字変換を回避、WAF フィルタ無効化の可能性
- 3自社 WAF・サニタイゼーション実装の文字変換層を即座に検証・CSP 強化を検討
要約
セキュリティ研究者が HTML タグ名の文字に隠した JavaScript が実行される XSS 脆弱性を発見した。ブラウザがタグ名を大文字に変換しても、localName プロパティが小文字版を保持し、onfocus イベントと組み合わせることで任意コード実行が可能になる。forward slash・whitespace・改行など複数の文字変換を組み合わせ、さらに part 属性や classList を活用すれば、WAF フィルタを迂回する複数のベクトルが成立する。
あなたへの影響
自社の WAF やサニタイゼーション実装が同じ文字変換の甘さを持つ場合は即座に検証が必要。
推奨：特に onfocus・attributes・localName・part・classList などのプロパティを活用した入力制御をしている場合は、複数の変換層を経た後の値の型・内容が確認できるかチームで確認し、必要に応じて CSP 強化や HTML パーサの厳格化を検討すべき。