Sécurité web : l'avis qui s'exécute et l'échappement

Abidjan, mercredi matin. Les clients d'Akwaba Market laissent des avis sous les fiches produits. Depuis hier soir, la fiche du « Sac en pagne et cuir » affiche en titre « BOUTIQUE FERMÉE », et un avis renvoie vers un site concurrent. Personne n'a touché au code de la boutique. Vous allez lire ce que le serveur envoie vraiment au navigateur, remonter à la ligne qui insère le texte des avis sans précaution, ajouter l'échappement à l'affichage, poser une politique de sécurité du contenu (CSP) dans nginx en seconde barrière, puis masquer les deux avis en cause sans en supprimer aucun. C'est l'injection dans une page web (cross-site scripting), l'une des failles les plus répandues, et l'erreur classique d'un développeur qui affiche une saisie sans la traiter.