Les jeux H5P sont utiles mais soyons vigilants

Bonjour à toutes et à tous,

En tant que responsable de recherche et développement en informatique et actuellement engagé dans des actions R&D sur BDS Studio, je tiens à partager une réflexion sur la sécurité des jeux H5P, en particulier face aux failles XSS (Cross-Site Scripting).

Lors de mes analyses, j’ai constaté que certains jeux, notamment le Memory Game exporté au format HTML, utilisent des méthodes comme innerHTML pour manipuler le DOM (16 occurrences repérées). Cette méthode, bien que courante, peut rendre ces jeux vulnérables aux attaques XSS.

Qu’est-ce qu’une faille XSS ?

Une faille XSS permet à une personne malveillante d’injecter du code dans une application web. Ce code est ensuite exécuté par le navigateur d’un utilisateur, ce qui peut entraîner :

• Le vol de cookies ou d’informations sensibles,
• Des redirections vers des sites frauduleux,
• L’exécution de scripts malveillants.

🎯 Pourquoi cette question est importante ?

Les jeux éducatifs, comme ceux créés avec H5P, sont des outils pour l’apprentissage grâce à leur simplicité et leur accessibilité. Mais une sécurité négligée peut compromettre les plateformes qui les hébergent, comme Moodle, WordPress, Drupal ou, dans mon cas, BDS Studio.

Par exemple, en 2017, une faille dans H5P sur Drupal a permis l’exécution de code JavaScript malveillant, exploitant une absence de filtrage des données insérées dans le DOM (détails ici). Cette vulnérabilité nécessitait des compétences expertes pour être exploitée, mais elle illustre bien le danger potentiel.

Quelques bonnes pratiques pour renforcer la sécurité :

• Privilégiez des méthodes sécurisées, comme textContent, pour manipuler le DOM,
• Validez et filtrez systématiquement les entrées utilisateur,
• Adoptez une bibliothèque comme DOMPurify pour nettoyer les contenus HTML.

Si vous exportez des contenus H5P, sachez qu’ils peuvent contenir des faiblesses.

il est important de souligner que l’utilisation actuelle d’H5P ne garantit pas une attaque imminente ! mais que certaines pratiques ou configurations laissent une porte ouverte à des problèmes potentiels à l’avenir.

En alliant innovation et sécurité, nous pouvons offrir des outils pédagogiques performants et garantir des environnements web fiables et robustes. Restons vigilants pour protéger nos utilisateurs et maintenir la confiance dans nos solutions éducatives.