From 2a350f73015619cae29fc49535a5de6f0a5bcd74 Mon Sep 17 00:00:00 2001
From: lokses <admin@lokses.od.ua>
Date: Sun, 1 Nov 2026 16:39:30 +0200
Subject: [PATCH] =?UTF-8?q?security:=20=D1=83=D1=81=D1=82=D1=80=D0=B0?=
 =?UTF-8?q?=D0=BD=D0=B5=D0=BD=D0=B8=D0=B5=20=D0=B4=D0=B2=D1=83=D1=85=20Sto?=
 =?UTF-8?q?red=20XSS=20(JSON=20=D0=B2=20<script>)=20+=20=D1=85=D0=B0=D1=80?=
 =?UTF-8?q?=D0=B4=D0=BD=D0=B8=D0=BD=D0=B3?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Аудит по OWASP: найдены и исправлены два Stored XSS класса «json.dumps|safe
в <script>» — вырыв из тега через </script> в пользовательских данных.

- OnlyOffice-редактор (documents-editor): имя файла (title) выводилось как
  var cfg = {{ editor_config|safe }} → перешли на |json_script
- РРО (rro.html): поля реестра (notes/model_name/...) в <script
  application/json> → |json_script; из view убран ручной json.dumps
- safe_filename: отсекает < > : " | ? * и управляющие символы (defense-in-depth)
- SECURE_CONTENT_TYPE_NOSNIFF = True

Тесты: XSS-пэйлоад </script> в имени файла и в поле РРО экранируется;
safe_filename отклоняет HTML-опасные символы. Прогон: 791 тест, 0 провалов.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
---
 acore/settings/base.py                |  2 ++
 apps/nextcloud_connector/access.py    |  8 +++++++-
 apps/nextcloud_connector/tests.py     | 21 +++++++++++++++++++++
 apps/nextcloud_connector/views.py     |  4 +++-
 apps/rro/tests.py                     | 12 ++++++++++++
 apps/rro/views.py                     |  9 ++-------
 templates/pages/documents-editor.html |  3 ++-
 templates/pages/rro.html              |  6 +++---
 8 files changed, 52 insertions(+), 13 deletions(-)

diff --git a/acore/settings/base.py b/acore/settings/base.py
index 405b661..a9d52b1 100644
--- a/acore/settings/base.py
+++ b/acore/settings/base.py
@@ -241,6 +241,8 @@ SESSION_COOKIE_SAMESITE = 'Lax'
 CSRF_COOKIE_HTTPONLY    = True
 CSRF_COOKIE_SAMESITE    = 'Lax'
 X_FRAME_OPTIONS         = 'DENY'
+# Запрет MIME-sniffing (важно при отдаче пользовательских файлов/документов).
+SECURE_CONTENT_TYPE_NOSNIFF = True
 
 # File upload limits
 DATA_UPLOAD_MAX_MEMORY_SIZE  = 15 * 1024 * 1024   # 15 MB
diff --git a/apps/nextcloud_connector/access.py b/apps/nextcloud_connector/access.py
index 551e9f5..7c4e7fb 100644
--- a/apps/nextcloud_connector/access.py
+++ b/apps/nextcloud_connector/access.py
@@ -9,6 +9,12 @@ safe_filename() — так исключён обход каталога (path tr
 from __future__ import annotations
 
 import posixpath
+import re
+
+# Запрещённые в имени файла символы: разделители путей, Windows-недопустимые и
+# HTML-опасные (< >), кавычки, управляющие (0x00-0x1f). Защита от XSS через имя
+# файла и несовместимых имён в хранилище.
+_UNSAFE_FILENAME_RE = re.compile(r'[<>:"/\\|?*\x00-\x1f]')
 
 from apps.nextcloud_connector.services.sync_service import pharmacy_mountpoint
 
@@ -324,6 +330,6 @@ def safe_filename(name: str | None) -> str | None:
         return None
     if posixpath.basename(name) != name:      # содержал '/' или иной разделитель
         return None
-    if any(c in name for c in ('/', '\\', '\x00')):
+    if _UNSAFE_FILENAME_RE.search(name):      # < > : " | ? * \ / и управляющие
         return None
     return name
diff --git a/apps/nextcloud_connector/tests.py b/apps/nextcloud_connector/tests.py
index 945b9a3..90bc995 100644
--- a/apps/nextcloud_connector/tests.py
+++ b/apps/nextcloud_connector/tests.py
@@ -116,6 +116,27 @@ class SafeFilenameTests(TestCase):
                   '.hidden', 'x\x00y'):
             self.assertIsNone(safe_filename(n), f'должно отклонить: {n!r}')
 
+    def test_rejects_html_dangerous_chars(self):
+        # Имя файла с < > " : | ? * недопустимо (защита от XSS в редакторе и
+        # несовместимых имён в хранилище).
+        for n in ('x</script><script>.docx', 'a<b>.pdf', 'q"uote.txt',
+                  'col:on.docx', 'pi|pe.txt', 'q?.txt', 'st*ar.txt'):
+            self.assertIsNone(safe_filename(n), f'должно отклонить: {n!r}')
+
+
+class OnlyOfficeEditorXssTests(TestCase):
+    def test_editor_config_escapes_script_breakout(self):
+        """Имя файла с </script> не должно вырваться из <script> редактора."""
+        from django.template.loader import render_to_string
+        html = render_to_string('pages/documents-editor.html', {
+            'editor_config': {'document': {'title': '</script><script>alert(1)</script>'}},
+            'api_js': 'https://ds.example/api.js',
+            'back': {'kind': 'documents'},
+            'filename': 'x.docx', 'mode': 'edit',
+        })
+        self.assertNotIn('</script><script>alert(1)', html)  # не вырвался
+        self.assertIn('\\u003C', html)                        # json_script экранировал '<'
+
 
 class AccessControlTests(TestCase):
     @classmethod
diff --git a/apps/nextcloud_connector/views.py b/apps/nextcloud_connector/views.py
index 9eeaa18..7fe0b02 100644
--- a/apps/nextcloud_connector/views.py
+++ b/apps/nextcloud_connector/views.py
@@ -1136,7 +1136,9 @@ def document_editor_view(request):
         user=request.user,
     )
     return render_page(request, 'documents-editor.html', {
-        'editor_config': json.dumps(config, ensure_ascii=False),
+        # dict, а не json-строка: в шаблоне безопасно выводим через |json_script
+        # (экранирует </script> и U+2028/2029 — защита от XSS через имя файла).
+        'editor_config': config,
         'api_js': settings['api_js'],
         'filename': resolved['filename'],
         'mode': mode,
diff --git a/apps/rro/tests.py b/apps/rro/tests.py
index 41946ee..dfd87c0 100644
--- a/apps/rro/tests.py
+++ b/apps/rro/tests.py
@@ -157,6 +157,18 @@ class CashRegisterPortalTests(TestCase):
         self.assertNotContains(resp, 'id="rro-form-overlay"')
         self.assertNotContains(resp, 'translateX(100%)')
 
+    def test_rro_json_is_xss_safe(self):
+        """Stored XSS: поле реестра не должно вырваться из <script>."""
+        CashRegister.objects.create(
+            pharmacy=self.pharmacy, kind=CashRegister.Kind.RRO,
+            fiscal_number='FN-XSS', status=self.status_active,
+            model_name='</script><script>alert(document.cookie)</script>',
+        )
+        self._login()
+        html = self.client.get('/rro/', HTTP_HX_REQUEST='true').content.decode()
+        self.assertNotIn('</script><script>alert', html)  # не вырвался из тега
+        self.assertIn('\\u003C', html)                     # json_script экранировал '<'
+
     def test_pharmacy_detail_rro_tab(self):
         self._login()
         resp = self.client.get(f'/pharmacies/{self.pharmacy.pk}/', HTTP_HX_REQUEST='true')
diff --git a/apps/rro/views.py b/apps/rro/views.py
index b6c7295..a9114fd 100644
--- a/apps/rro/views.py
+++ b/apps/rro/views.py
@@ -1,9 +1,7 @@
 from datetime import datetime
-import json
 
 from django.contrib.auth.decorators import login_required
 from django.core.exceptions import ValidationError
-from django.core.serializers.json import DjangoJSONEncoder
 from django.db import IntegrityError, transaction
 from django.db.models import Q
 from django.http import HttpResponseForbidden
@@ -190,7 +188,7 @@ def _rro_list_context(request, **extra):
         'can_edit_rro': can_edit,
         'rro_pharmacy_scoped': not has_all_locations(user),
         'registers': register_list,
-        'registers_json': json.dumps(registers_js, cls=DjangoJSONEncoder, ensure_ascii=False),
+        'registers_js': registers_js,  # в шаблон через |json_script (анти-XSS)
         'statuses': statuses,
         'vendors': vendors,
         'kind_choices': CashRegister.Kind.choices,
@@ -216,10 +214,7 @@ def _rro_list_context(request, **extra):
     # Explicit open create panel on validation errors
     if context.get('rro_form_errors') and not context.get('rro_edit_id'):
         context['show_create_panel'] = True
-    if context.get('rro_form_data'):
-        context['rro_form_data_json'] = json.dumps(
-            context['rro_form_data'], cls=DjangoJSONEncoder, ensure_ascii=False,
-        )
+    # rro_form_data выводится в шаблоне через |json_script — без ручного json.dumps.
     return context
 
 
diff --git a/templates/pages/documents-editor.html b/templates/pages/documents-editor.html
index 718ce68..36969fb 100644
--- a/templates/pages/documents-editor.html
+++ b/templates/pages/documents-editor.html
@@ -16,11 +16,12 @@
     <div id="onlyoffice-editor" class="oo-editor-host"></div>
 </div>
 
+{{ editor_config|json_script:"onlyoffice-config" }}
 <script src="{{ api_js }}"></script>
 <script>
 (function () {
     var host = document.getElementById('onlyoffice-editor');
-    var cfg = {{ editor_config|safe }};
+    var cfg = JSON.parse(document.getElementById('onlyoffice-config').textContent);
     if (typeof DocsAPI === 'undefined') {
         host.innerHTML =
             '<p style="padding:1.25rem; font-size:0.875rem; color:#d63333;">Не удалось загрузить OnlyOffice. Проверьте хост Document Server.</p>';
diff --git a/templates/pages/rro.html b/templates/pages/rro.html
index d83b67b..bbbc18e 100644
--- a/templates/pages/rro.html
+++ b/templates/pages/rro.html
@@ -227,8 +227,8 @@
         </div>
     </div>
 
-    <script type="application/json" id="rro-registers-json">{{ registers_json|safe }}</script>
-    {% if rro_form_data_json %}<script type="application/json" id="rro-form-data-json">{{ rro_form_data_json|safe }}</script>{% endif %}
+    {{ registers_js|json_script:"rro-registers-json" }}
+    {% if rro_form_data %}{{ rro_form_data|json_script:"rro-form-data-json" }}{% endif %}
     {% endif %}
 {% if not accounting_embed %}</div>{% endif %}
 
@@ -321,7 +321,7 @@
     {% if rro_edit_id %}
     rroOpenEdit({{ rro_edit_id }});
     {% endif %}
-    {% if rro_form_data_json %}
+    {% if rro_form_data %}
     (function () {
         try {
             applyFormData(JSON.parse(document.getElementById('rro-form-data-json').textContent));