* Sanitiza HTML/JavaScript nos campos TextField (stored XSS)
Os ~71 campos models.TextField do SAPL guardavam texto livre sem nenhuma
sanitização, e a renderização os tratava como HTML confiável em 142 pontos
(|safe, {% autoescape off %}). Qualquer usuário com permissão de edição
conseguia gravar <script> num campo e executá-lo no navegador de quem
abrisse a tela, inclusive nas páginas públicas (acompanhamento de matéria,
perfil público de parlamentar, resumo de sessão).
Duas camadas, ambas usando a mesma função idempotente para que não se
acumulem:
- Entrada: receiver pre_save global em sapl/base/receivers.py, cobrindo
forms, a API do drfautoapi, o admin e o shell num único ponto.
- Saída: get_field_display() em sapl/crispy_layout_mixin.py — que monta o
HTML de todo TextField para as telas de list/detail do CRUD — mais o
novo filtro |sanitize nos templates. Protege as linhas gravadas antes
desta mudança, já que não há backfill.
Políticas por campo, em sapl/sanitize.py:
- plain (padrão): remove toda a marcação e preserva o texto.
- rich: allowlist para os campos editados no TinyMCE (conteúdo de
expediente, ocorrências, considerações finais e texto de dispositivo).
Links continuam funcionando, com target e o alinhamento do editor
preservados; javascript:, data:, on* e <script> são descartados.
- exempt: LexmlProvedor.xml e TipoTextoArticulado.rodape_global, que não
são HTML.
Corrige também cinco |safe dentro de <textarea>, onde
</textarea><script> escapava do contexto, e cinco |striptags|safe — a
documentação do Django avisa que striptags não garante HTML seguro.
Sem migração de dados: as linhas existentes são neutralizadas na
renderização e limpas quando o registro for salvo de novo.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
* Corrige escape duplo e cobertura da sanitização de TextField
Ajustes da revisão do #3846:
- plain: grava texto puro (entidades decodificadas); o escape fica na
renderização. Antes, & e < apareciam como & e < na tela e na API.
- get_field_display: escapa campos plain e isentos em vez de re-sanitizar.
- Blocos da ata: |sanitize|striptags, sem escapar /& duas vezes.
- RICH_TEXT_FIELDS: inclui os campos editados no TinyMCE que faltavam
(biografia, informacao_geral, NormaRelacionada.resumo,
Legislatura.observacao); perfil público renderiza biografia com |sanitize.
- compilacao: Dispositivo.texto passa de |safe para |sanitize nos cinco
templates restantes. TipoDispositivo.*_html continua na política rich no
pre_save; o form de edição rejeita fragmentos com tags desbalanceadas,
que a sanitização descartaria ao salvar.
- pre_save ignora raw=True (loaddata, inclusive em migrations).
- Isenção por campo (SANITIZE_EXEMPT_FIELDS), como RICH_TEXT_FIELDS.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
---------
Co-authored-by: Claude Opus 5 <noreply@anthropic.com>
Co-authored-by: Edward <9326037+edwardoliveira@users.noreply.github.com>
Edward
37a248c63d