Usar el elemento CDATA en XML ¿es vulnerable o no?

Question

¿Es vulnerable usar el elemento CDATA en documentos XML? Si es así, ¿qué ocurre si utilizamos elementos CDATA en documentos XML?

Answer 1

No sé qué quiere decir con ‘vulnerabilidad’, pero hay un error que muchas personas hacen con las secciones CDATA. Esto sucede cuando un programador perezoso no comprende realmente el escape de texto e intenta evitar el proceso normal de &, que codifica caracteres especiales en XML. Ellos piensan que pueden salirse con la suya:

print "<element><![CDATA["+textstring+"]]></element>"; 

y mientras este hecho va a parar a un personaje < o & en textstring ser tratado como el marcado, que no es a prueba de agua, porque TextString podría contener una secuencia ]]>, lo que resulta en:

<element><![CDATA[ Foo ]]> <bar>I'm an unexpected element!</bar> ]]></element> 

Este es un XML-inyección, que al igual que una inyección de HTML podría potencialmente tener un impacto en la seguridad XSS-similares.

Por lo tanto, todavía tendría que escapar algunas secuencias en CDATA (por lo general, dividiría una secuencia ]]> entre dos secciones CDATA). En la práctica, el uso de CDATA no es más sencillo que el &, que consiste en codificar el contenido de texto de la forma habitual. Entonces realmente no hay razón alguna para usar una sección CDATA.

Answer 2

Vulnerable a qué? ¿Un ataque de inyección de algún tipo? CDATA le dice al analizador que pase los contenidos sin analizarlos, así que si está validando su XML, supongo que la sección CDATA se pierde en el paso de validación.

El código que utiliza la secuencia XML debe tener algún tipo de validación comercial más allá de la validación del esquema, por lo que solo correrá riesgos si no comprueba las entradas antes de usarlas.

Answer 3

Una sección CDATA es simplemente otra forma de representar datos de caracteres dentro de un documento XML. Significa exactamente lo mismo que cualquier otro texto (sin etiqueta) en un documento, excepto que se escapó de manera diferente.

No hay una "vulnerabilidad" adicional asociada con CDATA (excepto por los errores en su biblioteca de análisis XML, por supuesto).