evalや動的テンプレートのコンパイルによるコードインジェクション

// 入力をコードとして評価し、利用者のテンプレートを描画
const express = require("express");
const ejs = require("ejs");
const app = express();
app.use(express.json());

app.get("/calc", (req, res) => {
  const expr = req.query.expr; // 例: "process.env"や悪意のあるコード
  // BAD: 入力をコードとして評価
  const result = eval(expr);
  res.send(String(result));
});

app.post("/preview", (req, res) => {
  const userTpl = req.body.tpl; // 利用者が送信したテンプレート文字列
  // BAD: 利用者のテンプレートを直接描画（SSTI）
  const html = ejs.render(userTpl, { name: req.body.name });
  res.send(html);
});

app.get("/wait", (req, res) => {
  // BAD: タイマーのコールバック内で入力をコードとして評価
  setTimeout(() => eval(req.query.code), 10);
  res.send("scheduled");
});

app.listen(3000);

// 許可した演算、固定テンプレート、固定のタイマー処理
const express = require("express");
const ejs = require("ejs");
const app = express();
app.use(express.json());

// 1) 許可した演算を選択
const OPS = new Map([
  ["add", (a, b) => a + b],
  ["sub", (a, b) => a - b],
  ["mul", (a, b) => a * b],
]);
app.get("/calc", (req, res) => {
  const op = req.query.op; // add/sub/mulのいずれか
  const a = Number(req.query.a);
  const b = Number(req.query.b);
  const operation = typeof op === "string" ? OPS.get(op) : undefined;
  if (!operation || !Number.isFinite(a) || !Number.isFinite(b)) {
    return res.status(400).send("invalid input");
  }
  const result = operation(a, b); // コード評価をせず関数を選択
  res.send(String(result));
});

// 2) 自動エスケープを維持し、固定テンプレートにデータを渡す
const PROFILE_TPL = "<h1>User</h1><p>Name: <%= name %></p>";
app.post("/preview", (req, res) => {
  const name = typeof req.body.name === "string" ? req.body.name : "";
  const html = ejs.render(PROFILE_TPL, { name }); // 利用者の入力はデータとしてのみ渡す
  res.send(html);
});

// 3) タイマーには関数のコールバックだけを渡す
app.get("/wait", (req, res) => {
  const ms = Math.min(Number(req.query.ms) || 0, 5000);
  setTimeout(() => {
    // 処理を関数で定義し、文字列のコードを評価しない
  }, ms);
  res.send("scheduled");
});

app.listen(3000);