V5.3.1 Output Encoding and Injection Prevention

Requirement:

Verify that output encoding is relevant for the interpreter and context required. For example, use encoders specifically for HTML values, HTML attributes, JavaScript, URL parameters, HTTP headers, SMTP, and others as the context requires, especially from untrusted inputs (e.g. names with Unicode or apostrophes, such as ねこ or O'Hara).

Explanation:

Кодировка выходных данных — это метод, используемый для предотвращения выполнения вредоносного кода при отображении данных, предоставленных пользователем. Целью кодировки выходных данных является преобразование специальных символов в предоставленных пользователем данных в представление, которое можно безопасно отображать (без риска использования). Важно использовать правильный метод кодирования для соответствующего интерпретатора и контекста. Например, если пользовательские данные будут отображаться в виде значения HTML, следует использовать кодировку HTML. Если данные будут использоваться в качестве параметра URL, следует использовать кодировку URL. И если данные будут использоваться как переменная JavaScript, следует использовать кодировку JavaScript. Это особенно важно при работе с ненадежными входными данными, такими как пользовательские данные из форм, строк запросов или других источников. Эти входные данные могут содержать символы, которые могут быть использованы для взлома приложения, например символы, используемые в XSS-атаках. Например, если пользователь указывает такое имя, как O'Hara или ねこ, содержащее апостроф или символы Unicode, важно правильно закодировать эти данные перед их отображением в приложении. Если данные не закодированы должным образом, они могут быть интерпретированы как вредоносный код и выполнены браузером, что приведет к уязвимости системы безопасности. Правильно кодируя предоставленные пользователем данные перед их отображением, приложение может помочь предотвратить XSS и другие типы уязвимостей безопасности.

Remediation:

Вот пример кодирования вывода в JavaScript с использованием функций encodeURI() и encodeURIComponent():

// Get the user-supplied data

const userData = "O'Hara";

// Encode the data for use in a URL parameter

const encodedData = encodeURIComponent(userData);

// Construct a URL with the encoded data

const url = 'https://www.example.com?name=' + encodedData;

// Encode the entire URL for use in an HTML link

const encodedURL = encodeURI(url);

// Display the encoded URL in an HTML link

document.getElementById('link').innerHTML = '<a href="' + encodedURL + '">' + userData + '</a>';

В этом примере функция encodeURIComponent() используется для кодирования предоставленных пользователем данных для использования в параметре URL, а функция encodeURI() используется для кодирования всего URL-адреса для использования в ссылке HTML. Это гарантирует правильное кодирование предоставляемых пользователем данных для каждого конкретного контекста и снижает риск XSS и других уязвимостей безопасности. Примечание. В разных языках программирования доступно множество различных функций кодирования, и конкретная используемая функция будет зависеть от контекста и интерпретатора. Важно выбрать правильную функцию кодирования для конкретного варианта использования, чтобы обеспечить безопасность приложения.

Additional:

https://owasp.org/www-project-proactive-controls/#div-numbering