## Problema La scansione di sicurezza ha rilevato **1 vulnerabilità confermate e azionabili** (1 high) nel repository `opencity-labs/formio-custom-components`. Questa issue le porta nel planning dello sprint, con triage già eseguito. ## Vulnerabilità da risolvere > Legenda triage: _Vulnerabilità reale_ = sfruttabile nel contesto; _Rafforzamento_ = debolezza reale ma non direttamente sfruttabile, fix comunque consigliato. | Severità | Fonte | Posizione | Descrizione | Triage | |----------|-------|-----------|-------------|--------| | HIGH | `semgrep/eslint.detect-eval-with-expression` | `src/customComponentFormio/Select/Select.js:72` | Improper neutralization of directives in dynamically evaluated code ('Eval Injection') | Rafforzamento (debolezza reale, non direttamente sfruttabile nel contesto) — new Function() valuta codice arbitrario proveniente da component.customOptions, campo configurato da form builder admin e non da utenti finali; il rischio è reale ma l'input è fidato per design; va rimosso in favore di un parser sicuro. | ## Approccio suggerito **Esecuzione dinamica di codice nel componente Select** (`src/customComponentFormio/Select/Select.js`, riga 72) Il codice usa `new Function()` per valutare il campo `component.customOptions`, che contiene configurazioni inserite dall'admin del form builder (non da utenti finali). Sebbene l'input sia considerato fidato per design, il pattern è intrinsecamente pericoloso: un admin malevolo o una configurazione corrotta potrebbe eseguire codice arbitrario nel contesto dell'applicazione. Il fix richiesto è un **intervento di codice (hardening)**: sostituire `new Function()` con un parser sicuro adatto al tipo di dato atteso in `customOptions` (es. `JSON.parse` se il campo contiene strutture dati, oppure una whitelist di chiavi/valori se il campo ha una forma nota). Non è sufficiente un semplice aggiornamento di dipendenza: occorre riscrivere la logica di lettura di `customOptions` senza ricorrere a valutazione dinamica. Non sono coinvolte dipendenze esterne né file di manifest. ## Ambito e vincoli - **In-scope**: aggiornare le dipendenze alle versioni con fix indicate in tabella; per i finding di codice, l'intervento localizzato descritto nell'approccio. - **Out-of-scope**: aggiornamenti _major_ non richiesti, refactoring non correlato, modifiche ad aree non toccate dai finding. - **Non toccare** codice o dipendenze non elencati in questa issue. ## Probabili falsi positivi 7 finding che il triage ritiene non rischiosi nel contesto: non entrano nella issue e vengono ri-valutati a ogni run, quindi **non serve fare nulla**. Se però uno **ricorre** ed è rumore, per sopprimerlo in modo stabile aggiungi la regola già pronta (nel blocco sotto) nel file **`.gitlab/security-fp-rules.yaml` di questo repository** — è opzionale, crealo se non esiste, mettendo le voci sotto la chiave `rules:`. Il file è mantenuto dal team del repo. Se invece è una vulnerabilità vera mal-classificata, correggila. <details> <summary> Mostra i 7 probabili falsi positivi e le regole pronte per \`.gitlab/security-fp-rules.yaml\` </summary> | Severità | Fonte | Posizione | Descrizione | |----------|-------|-----------|-------------| | HIGH | `semgrep/nodejs_scan.javascript-ssrf-rule-node_ssrf` | `src/customComponentFormio/AddressMap/AddressMap.jsx:141` | Server-side request forgery (SSRF) | | HIGH | `semgrep/nodejs_scan.javascript-ssrf-rule-node_ssrf` | `src/customComponentFormio/AddressMap/AddressMap.jsx:73` | Server-side request forgery (SSRF) | | HIGH | `semgrep/nodejs_scan.javascript-ssrf-rule-node_ssrf` | `src/customComponentFormio/AddressMap/AddressMap.jsx:81` | Server-side request forgery (SSRF) | | MEDIUM | `semgrep/eslint.detect-non-literal-regexp` | `src/customComponentFormio/ListServices/ListServices.jsx:132` | Regular expression with non-literal value | | MEDIUM | `semgrep/eslint.react-dangerouslysetinnerhtml` | `src/customComponentFormio/FileSdc/SdcFileReact.jsx:525` | Improper neutralization of input during web page generation ('Cross-site Scripting') | | MEDIUM | `semgrep/eslint.react-dangerouslysetinnerhtml` | `src/customComponentFormio/ListServices/ListServices.jsx:402` | Improper neutralization of input during web page generation ('Cross-site Scripting') | | MEDIUM | `semgrep/nodejs_scan.javascript-dos-rule-regex_dos` | `src/customComponentFormio/ListServices/ListServices.jsx:132` | Incorrect regular expression | ```yaml rules: - rule_id: "nodejs_scan.javascript-ssrf-rule-node_ssrf" source: "semgrep" path: "src/customComponentFormio/AddressMap/AddressMap.jsx" reason: "CONFERMARE FP: fetch client-side verso URL hardcoded nominatim.openstreetmap.org/reverse con lat/lng da evento click sulla mappa; è codice browser, SSRF non applicabile." - rule_id: "nodejs_scan.javascript-ssrf-rule-node_ssrf" source: "semgrep" path: "src/customComponentFormio/AddressMap/AddressMap.jsx" reason: "CONFERMARE FP: fetch eseguito dal browser dell'utente (componente React client-side) verso URL hardcoded su nominatim.openstreetmap.org con query sanificata via encodeURIComponent; SSRF non si applica a codice lato client." - rule_id: "nodejs_scan.javascript-ssrf-rule-node_ssrf" source: "semgrep" path: "src/customComponentFormio/AddressMap/AddressMap.jsx" reason: "CONFERMARE FP: fetch client-side verso baseUrl() (backend configurato staticamente) con lat/lon provenienti dalla risposta API Nominatim, non da input utente diretto; nessun controllo server coinvolto." - rule_id: "eslint.detect-non-literal-regexp" source: "semgrep" path: "src/customComponentFormio/ListServices/ListServices.jsx" reason: "CONFERMARE FP: il token utente viene passato a escapeRegExp() (riga 119) che sanifica tutti i metacaratteri regex prima di costruire la RegExp; nessuna injection possibile." - rule_id: "eslint.react-dangerouslysetinnerhtml" source: "semgrep" path: "src/customComponentFormio/FileSdc/SdcFileReact.jsx" reason: "CONFERMARE FP: il valore è avvolto in DOMPurify.sanitize() prima dell'assegnazione a __html; component.description proviene da configurazione admin e viene comunque bonificato." - rule_id: "eslint.react-dangerouslysetinnerhtml" source: "semgrep" path: "src/customComponentFormio/ListServices/ListServices.jsx" reason: "CONFERMARE FP: safeHtml è il risultato di DOMPurify.sanitize(service.abstract) alla riga 380; l'HTML è già bonificato prima del rendering." - rule_id: "nodejs_scan.javascript-dos-rule-regex_dos" source: "semgrep" path: "src/customComponentFormio/ListServices/ListServices.jsx" reason: "CONFERMARE FP: escapeRegExp() neutralizza tutti i metacaratteri speciali rendendo impossibile la costruzione di pattern con backtracking catastrofico." ``` </details> ## Criteri di accettazione - Il componente Select legge e applica il campo `customOptions` senza mai invocare `new Function()`, `eval()` o costrutti equivalenti di valutazione dinamica del codice. - Il valore di `customOptions` viene elaborato tramite un parser sicuro (es. `JSON.parse` o accesso diretto alle proprietà): input malformati o non conformi al formato atteso vengono rifiutati o ignorati con un errore gestito, senza propagare eccezioni non controllate. ## Test **Comando di verifica:** _non rilevato automaticamente — indicare il comando di test del repository._ ### Fatto (automatizzabile) - [ ] Ricerca statica: il file `src/customComponentFormio/Select/Select.js` non contiene occorrenze di `new Function`, `eval(` né pattern equivalenti (es. `setTimeout` con stringa) — verificabile con `grep` o regola lint. - [ ] I test automatici del repo passano dopo la modifica — il comando di test non è stato rilevato automaticamente: l'assegnatario deve indicarlo e includerlo nella pipeline prima di chiudere il task. - [ ] Nuovo test da scrivere: dato un valore di `customOptions` che contiene una stringa con codice eseguibile (es. `"() => { require('fs').unlinkSync('/tmp/x') }"`), il componente non esegue il codice, non lancia eccezioni non gestite e restituisce un output sicuro (valore ignorato o errore controllato); il test deve passare nella suite automatica del repo. ### Gate umano / staging - [x] Verificare in staging che il componente Select con `customOptions` configurate dal form builder continui a renderizzare correttamente le opzioni e a comportarsi come atteso (area funzionale: creazione e visualizzazione di form con componenti Select personalizzati tramite interfaccia del form builder). - [x] Link all'ambiente di staging: [LINK](https://form-builder-qa.stanzadelcittadino.it/#/services/6a8c364f6d2a4e8aa18ee431) **Ambiente di test:** _da inserire prima della chiusura — link diretto allo staging che punta alla funzionalità toccata dal fix (richiesto da ISSUES.md per le issue chiuse in sprint)._ <details> <summary>Dati per automazione (per un agente — non serve all'umano)</summary> ```json [ { "key": "semgrep:eslint.detect-eval-with-expression:src/customComponentFormio/Select/Select.js:72", "source": "semgrep", "rule_id": "eslint.detect-eval-with-expression", "severity": "high", "package": null, "current_version": null, "fix_version": null, "manifest_paths": [], "pin_style": null, "build_flow": null, "dep_location": null, "transitive": null, "file": "src/customComponentFormio/Select/Select.js", "line": 72, "classification": "hardening" } ] ``` </details> --- _Issue generata automaticamente da _[_security-sprint-agent_](https://gitlab.com/opencity-labs/product/-/blob/main/.gitlab/ci/security_sprint_agent/SECURITY_SPRINT_AGENT.md)_._ <!--security-sprint-agent repo=opencity-labs/formio-custom-components iteration=3825551 findings=43db5473ce70--> <!--ssa-keys semgrep:eslint.detect-eval-with-expression:src/customComponentFormio/Select/Select.js:72-->