Le code source HTML peut contenir des commentaires sensibles qui sont insérés dans le code HTML d'une page web, mais qui ne sont pas visibles pour l'utilisateur final. Les commentaires sont généralement utilisés par les développeurs pour ajouter des notes ou des informations supplémentaires sur le code, mais ils peuvent également être utilisés pour cacher des informations sensibles comme des mots de passe ou des clés d'API.
Pour exploiter cette vulnérabilité, il est nécessaire d’avoir accès à une application qui comporte des commentaires HTML.
Naviguer sur l’application pour récupérer les endpoints et/ou pages de l’application puis analyser le code HTML de chaque page.
Tenter de trouver des commentaires en HTML cachés dans le code source de la page et analyser leur contenu.
Une exploitation réussie de ce type de vulnérabilité peut permettre :
Les contre-mesures suivantes peuvent être mises en œuvre :
Les scénarios suivants peuvent être joués via l’exploitation de cette vulnérabilité :
Voici un exemple de page HTML simple contenant un commentaire qui fournit des identifiants en clair :
<!DOCTYPE html> <html> <head> <title>Exemple de commentaire sensible</title> </head> <body> <h1>Bienvenue sur notre site web</h1> <!-- Identifiants: login: admin, mot de passe: secret --> </body> </html>
Dans cet exemple, le commentaire HTML caché dans le code contient les identifiants de connexion (login: “admin”, mot de passe: “secret”). Si cette page est accessible à un attaquant, il peut facilement récupérer ces informations sensibles et les utiliser pour accéder au système.
Voici un exemple de page HTML simple contenant un commentaire qui indique la présence d'une page de debug de l'application :
<!DOCTYPE html> <html> <head> <title>Exemple de lien sensible</title> </head> <body> <h1>Bienvenue sur notre site web</h1> <!-- <a href="/utils/debug_dev.php">Debug</a>--> </body> </html>
Dans cet exemple, le commentaire HTML caché dans le code contient un lien vers la page “/utils/debug_dev.php” qui semble être une page de debug à destination des équipes de développement.