Informe sobre la seguridad de los frameworks de JavaScript 2019

Seguridad de los proyectos principales de Angular y React

Seguridad de los ecosistemas de módulos de Angular y React

🔘Angular tiene veintitrés vulnerabilidades de seguridad en su proyecto heredado AngularJS (Angular v1.x).

🔘Los ecosistemas de módulos de React y Angular presentan vulnerabilidades de seguridad en componentes de bibliotecas de frontend muy populares, con millones de descargas. Algunas aún no tienen una solución de seguridad disponible.

🔘No se identificaron vulnerabilidades de seguridad en los componentes principales del framework Angular.

🔘Detectamos módulos maliciosos que afectaban a los ecosistemas de Angular y React e intentaban robar tarjetas de crédito, contraseñas y otros datos confidenciales utilizados en aplicaciones web de frontend.

🔘React tiene algunas vulnerabilidades de seguridad; parece que se encuentran regularmente en sus bibliotecas principales y se divulgan cada dos años.

🔘El framework Next.js demostró un gran compromiso con la seguridad: solucionó rápidamente las cinco vulnerabilidades encontradas a lo largo de la vida del proyecto y publicó las correcciones en tan solo una semana.

🔘Solo una vulnerabilidad del proyecto principal de React tiene un CVE oficial asignado. Ninguna de las vulnerabilidades reportadas de Angular figura en la lista de CVE. En conjunto, esto demuestra la necesidad de una base de datos de vulnerabilidades que aproveche la actividad de la comunidad de código abierto para sacar a la luz problemas de seguridad relevantes.

🔘Snyk reporta veintiséis vulnerabilidades de seguridad en los proyectos principales de Angular y React que npm audit no incluye en sus informes.

Postura de seguridad de Angular y React

Seguridad de los ecosistemas de frontend

🔘Angular cuenta con pautas de seguridad claras y accesibles, un contacto de seguridad y una política de divulgación responsable, elementos que faltan en el proyecto React.

🔘jQuery se descargó más de 120 millones de veces en los últimos 12 meses y, según W3Techs, jQuery v1.x se usa en el 84 % de todos los sitios web que utilizan jQuery. Esta versión tiene cuatro vulnerabilidades XSS de gravedad media. De hecho, si no usas jQuery v3.4.0 o posterior —como ocurre con la mayoría de quienes usan jQuery—, estás usando una versión con vulnerabilidades de seguridad.

🔘Angular ofrece una compatibilidad integrada más amplia para la sanitización de datos y la codificación de salida en distintos contextos, como los atributos URL de los elementos HTML de anclaje (o enlaces).

🔘Bootstrap se descargó 79,185,409 veces en los últimos doce meses, pese a tener siete vulnerabilidades de Cross-Site Scripting (XSS). Tres de ellas se divulgaron en 2019. Algunos módulos destacados de la comunidad, como

bootstrap-markdown

tuvieron más de 300,000 descargas en el mismo período, pese a no contar con una corrección de seguridad ni una ruta de actualización para solucionar sus vulnerabilidades XSS.

bootstrap-select

superó los dos millones de descargas y tiene una vulnerabilidad XSS de gravedad alta que el equipo de investigación de Snyk detectó con ayuda de su sistema de inteligencia de amenazas propietario.

🔘React no incluye controles integrados para la sanitización de datos, sino que codifica la salida de forma predeterminada en la mayoría de los casos y deja en manos de los desarrolladores los casos no contemplados, como refs y los atributos URL (estos últimos se abordan en la versión React v16.9.0).

🔘El framework Vue.js se descargó más de 40 millones de veces en los últimos 12 meses y registra

cuatro vulnerabilidades en total en el núcleo de Vue.js

, todas corregidas.

🔘Angular incluye en su servicio HTTP un mecanismo de seguridad integrado para proteger contra vulnerabilidades de Cross-Site Request Forgery (CSRF). Los desarrolladores de React deben abordar estos problemas por su cuenta.