XSS local defensivo: source, sink y output encoding

XSS no es “pegar un script en una web”. Es un bug de contexto: un dato que debía ser tratado como texto termina siendo interpretado como HTML o JavaScript. En este lab lo ves en local, sin tocar sitios ajenos.

Página vulnerable de juguete

Creá un archivo local xss-demo.html con una idea como esta:

<div id="saludo"></div>
<script>
  const params = new URLSearchParams(location.search);
  const name = params.get("name") ?? "mundo";
  document.querySelector("#saludo").innerHTML = `Hola ${name}`;
</script>

El source es location.search. El sink es innerHTML. El problema es que innerHTML interpreta HTML.

python3 -m http.server 8000

Abrí http://localhost:8000/xss-demo.html?name=Valen y después probá un valor con etiquetas HTML. No uses sitios de terceros: esto es tu archivo local.

El fix mínimo

Si querés mostrar texto, usá una API que escriba texto:

<script>
  const params = new URLSearchParams(location.search);
  const name = params.get("name") ?? "mundo";
  document.querySelector("#saludo").textContent = `Hola ${name}`;
</script>

Ahora el navegador no interpreta el contenido como HTML: lo muestra como texto.

Evidencia esperada

Documentá el bug con esta tabla:

source:     query string (?name=...)
sink malo:  innerHTML
impacto:    input no confiable se interpreta como markup
fix:        textContent para renderizar texto