È incluso lo schema di dati nel tuo Content Security Policy sicuro?

Questa è una grande domanda e ti raccomando di dedicare del tempo a pensarci da un punto di vista della sicurezza, invece di implementare la soluzione dal link che hai inviato.

Sì, come temuto, l'uso di data: in una direttiva CSP non è sicuro, poiché consente di aprire le vulnerabilità XSS come dati: può gestire qualsiasi URI. Questo è spiegato in Documentazione CSP di Mozilla.

È possibile ridurre la superficie di un potenziale attacco XSS modificando i dati: direttiva in:

img-src 'self' data:image/svg+xml

Tuttavia, come best practice mi adopererò per affrontare il problema di root relativo alle immagini fornite come base64 e vedere se ciò può essere fatto in un altro modo in modo da non richiedere la modifica della direttiva CSP.

1. La nota sulla whitelisting del protocollo dati a cui viene fatto riferimento dice

   data: Allows data: URIs to be used as a content source. This is insecure; an attacker can also inject arbitrary data: URIs. Use this sparingly and definitely not for scripts.

   Questo non è in una parte specifica dei rischi di uris di dati in immagini , e non ho visto alcuna prova sostanziale che l'uris di dati nelle immagini possa eseguire codice in un browser moderno in alcun modo, non importa XSS una pagina.

   In alcuni contesti, un'immagine SVG può eseguire codice Javascript, ma questi sono contesti secondari come <iframe> , <object> o <embed> elementi, o una parte diretta dell'host DOM ovvero <svg> elementi.

   MDN richiama esplicitamente che <img> di SVG incorporati non può eseguire Javascript, insieme ad alcune altre restrizioni di sicurezza, dicendo

   • JavaScript is disabled.
   • External resources (e.g. images, stylesheets) cannot be loaded, though they can be used if inlined through data: URIs.
   • :visited-link styles aren't rendered.
   • Platform-native widget styling (based on OS theme) is disabled.

2. Non sembra possibile specificare un MIME come parte dell'istruzione whitelisting del protocollo data: come suggerito come possibile mitigazione. L'unica direttiva sui criteri di sicurezza del contenuto che ho visto in grado di limitare il tipo MIME è plugin-types , che limita solo <object> e <embed> (vedi documenti CSP generici ).

Sarò d'accordo con la risposta accettata nel rispetto del fatto che se non devi usare data-uris , e puoi farlo con poco dolore, è più semplice mantenere il tuo CSP e non usarlo. Tuttavia, se lavori con le immagini, di solito è un grande dolore.