Attualmente sto lavorando a un plug-in per un CMS che dovrebbe consentire agli editor di contenuti di scrivere tag di stile in linea.
Sto cercando consigli / collegamenti su come abusare degli stili in linea.
Parte del motivo del plug-in è di consentire una rigorosa politica di sicurezza dei contenuti (non javascript in linea, ma permessi in linea) - che dovrebbe mitigare l'impatto di qualsiasi cosa brutta che potrebbe essere aggiunta alla pagina, ma non per gli anziani i browser.
I comportamenti di Microsoft funzionano per gli stili in linea?
So che la soluzione migliore per fare questo lavoro sarebbe quella di convalidare / disinfettare il CSS contro una whitelist, ma ciò richiede l'implementazione di un parser CSS e la produzione / gestione di una lista bianca di proprietà. Una lista nera di proprietà / modelli sarebbe fattibile? (Sono consapevole dei meriti relativi di whitelisting / blacklisting - ma è un po 'distorto qui in quanto ci dovrebbe essere solo un numero finito di vettori di attacco).
Aggiorna
Giusto per chiarire, dal momento che gli editori di contenuti dovrebbero essere in qualche modo fidati, la mitigazione degli attacchi potrebbe essere una soluzione più pragmatica della prevenzione.
Inoltre, ho appena trovato un esempio specifico in CVE-2011-0232 , anche se sono più interessato ai casi in cui non esiste una vulnerabilità intrinseca in un'implementazione, ma piuttosto un difetto di progettazione.