Explorer la spécification HTML : The cool way

2026-03-28T00:00:00+00:00

Introduction</h2>
En fin d'année 2024 et au début de l'année 2025, il y eut deux articles de Kevin Mizu sur la librairie DOMPurify : Exploring the DOMPurify library: Bypasses and Fixes (1/2)</a> et Exploring the DOMPurify library: Hunting for Misconfigurations (2/2)</a>.
Ces articles explorent de façon approfondie la librairie `DOMPurify</code> et les moyens de la contourner à ce moment là. Pour les personnes qui ne connaissent pas ce qu'est DOMPurify</code>, il s'agit d'une bibliothèque qui permet de désinfecter - sanitize</code> en anglais - les entrées utilisateurs afin d'empêcher l'introduction de code malveillant comme de l'exécution de script (XSS).`
`Et en général, ces vulnérabilités surviennent via des mutations de l'arbre généré par le parseur HTML : le DOM. Par exemple DOMPurify</code> (côté client), utilise les données générées par DOMParseur</code>, la fonction générique présente dans tous les programmes prétendant implémenter la spécification HTML</code>. En l'occurrence, les navigateurs, et de façon plus générique les user-agents</code>, les agents utilisateurs en français.`
`Cette généricité permet donc à n'importe quel programme d'utiliser le standard HTML.`
`Et il s'avère qu'il existe pléthore d'implémentations côté serveur.`
`En effet, pour différentes raisons, les langages de programmations côté serveur qui génèrent des applications web (ou des portions de) peuvent avoir besoin de représenter un DOM côté serveur, par exemple pour désinfecter une entrée utilisateur.`
`En PHP</code> l'outil le plus connu pour générer un arbre HTML est libxml2</code>. C'est un portage un peu bizarre de la spécification HTML à partir d'une librairie qui a été essentiellement créée pour parser du xml, comme son nom l'indique fort bien. Elle n'est donc absolument pas conforme à la spécification HTML telle que définie par le comité whatwg.`
`Depuis PHP 8.4, libxml2</code> a laissé place à un autre parseur : lexbor</code>, qui est exposé via l'API DOM</code>. Ce parseur, créé en C par une seule personne, a pour prétention - sans que ce mot ait ici un sens péjoratif - d'implémenter la spécification HTML dans la globalité, et donc d'être spec compliant. Cela donne la possibilité aux programmes PHP d'utiliser une interface unifiée, débarrassée des problèmes inhérents à libxml2.`
Sans aller plus loin pour l'instant sur ces histoires, il s'agit d'une entreprise gargantuesque : la spécification HTML porte sur plusieurs milliers de lignes, avec des formulations absconses à de nombreux endroits, des ambiguïtés sur ce qu'un programme souhaitant l'implémenter doit faire, des machines à états extrêmement difficiles à comprendre par moment, de nombreuses définitions, des cas limites aux conséquences difficilement observables par la "simple" lecture de la spécification etc.
`En bref, il s'agit d'un travail d'une complexité inouïe qui occasionne forcément des bugs et des divergences avec les parseurs des navigateurs, qui eux même implémentent de façon imparfaite plusieurs points de la spécification HTML5. Et c'est précisément dans ces divergences que surgissent des mutations.`

kbtch_

Explorer la spécification HTML : The cool way