Cross-Site Script Inclusion (XSSI)

Définition

La Cross-Site Script Inclusion (XSSI) est une vulnérabilité web qui permet à un site malveillant de lire des données sensibles depuis un autre site en incluant leurs ressources JavaScript dans une balise <script src=...>. Contrairement au CSRF, l'XSSI permet de lire les données (et non seulement d'effectuer des actions), et contrairement au XSS classique, elle n'injecte pas de code mais lit du contenu légitime de manière illégitime. L'XSSI exploite le fait que les navigateurs permettent le chargement de scripts depuis n'importe quel domaine via des balises script (pour permettre les CDN), mais les scripts chargés ainsi s'exécutent dans le contexte du domaine source. Si un script JavaScript authentifié retourne des données sensibles sous forme de code JavaScript (JSON avec un callback JSONP, variable globale JavaScript, etc.), un site malveillant peut capturer ces données en surchargeant des fonctions JavaScript avant le chargement. Les variantes incluent : XSSI via JSONP (endpoint JSONP qui retourne des données sensibles de l'utilisateur authentifié), XSSI via variables globales (JavaScript qui assigne des données sensibles à window.userData = ...), XSSI via Array/Object constructors overriding (surcharger le constructeur Array pour capturer les données JSON non enveloppées dans une fonction), et XSSI via objet prototype (modifier Object.prototype pour capturer les propriétés). Des bugs Google notables ont été découverts via XSSI : des endpoints GMail et Google+ retournaient des données d'abonnement et de contacts sous forme de JSONP exploitable. Ces vulnérabilités ont été récompensées dans le bug bounty. Les protections incluent : préfixer les réponses JSON avec des séquences non-exécutables ()]}'\n ou for(;;); qui cassent l'inclusion script mais pas le parsing JSON du même domaine après strip du préfixe), utiliser X-Content-Type-Options: nosniff, et remplacer JSONP par CORS pour les API modernes.