1

Hola amigos oigan quiero hacer un insert y obtengo el siguiente error

Se detectó un posible valor Request.Form peligroso en el cliente (texto="...adores de

Entiendo que esta es una medida de seguridad para evitar ataques por script, la cuestión es que necesito un insert dentro de mi base de datos texto con html, ese <b> es de una etiqueta de negritas. Y así una serie de elementos html, alguien sabe como puedo evitarlo?

Este es mi código

  var myText = $('.Editor-editor');
  var strData = myText.html();
  var icono = 'manzana'


function InsertBeneficio(strData, icono) {
  //console.log(data)
  document.getElementById('modal-header').innerHTML = 'Agregar Beneficio';
  document.getElementById('modal-body').innerHTML = `
            <div align="center">

                    <h3>Ingresar Beneficio</h3>
                    <form action="/DashboardAdmin/InsertBeneficios" method="post">

                        <input type="text" name="texto" class="hidden" value="` + strData + `" />
                        <input type="text" name="icono" class="hidden" value="` + icono + `" />
                        <input type="text" class="hidden" name="id_userCreated" value="@User.Identity.GetUserId()" />
                    <input type="submit" class="btn btn-default" name="name" value="Insertar" />
                    </form>

                    <br/>
                    <a href="/DashboardAdmin/">Volver a panel</a>
              </div>`;

  $("#exampleModal").modal("show");

Y este mi método

  [Authorize]
    [HttpPost]
    public ActionResult InsertBeneficios(string id_userCreated, string texto, string icono)
    {

        using (DBEnt db = new DBEnt())
        {

            var contacto = new HomeBeneficios()
            {
               texto =  texto,
               icono = icono

            };
            db.HomeBeneficios.Add(contacto);
            //db..add(cat);
            db.SaveChanges();
        }
        var action = "Insert";
        var comments = "Beneficios ingresado por el usuario : ";
        InsertInBitacora(id_userCreated, action, comments + id_userCreated);
        return View("Index");
    }

Error:

Error de servidor en la aplicación '/'. Se detectó un posible valor Request.Form peligroso en el cliente (texto="...adores de valores de..."). Descripción: ASP.NET ha detectado datos en la solicitud que son potencialmente peligrosos porque incluyen script o marcado HTML. Es posible que los datos representen un intento de poner en peligro la seguridad de la aplicación, como un ataque XSS. Si el tipo de entrada es apropiado en la aplicación, puede incluir código en una página web para permitirlo explícitamente. Para obtener más información, consulte http://go.microsoft.com/fwlink/?LinkID=212874. Detalles de la excepción: System.Web.HttpRequestValidationException: Se detectó un posible valor Request.Form peligroso en el cliente (texto="...adores de Metas...").

Error de código fuente:

Se ha generado una excepción no controlada durante la ejecución de la solicitud Web actual. La información sobre el origen y la ubicación de la excepción pueden identificarse utilizando la excepción del seguimiento de la pila siguiente.

Seguimiento de la pila:

[HttpRequestValidationException (0x80004005): Se detectó un posible valor Request.Form peligroso en el cliente (texto="...adores de Metas...").] System.Web.HttpRequest.ValidateString(String value, String collectionKey, RequestValidationSource requestCollection) +9926025 System.Web.<>c__DisplayClass280_0.b__0(String key, String value) +23 System.Web.HttpValueCollection.EnsureKeyValidated(String key) +9924087 System.Web.HttpValueCollection.GetValues(String name) +18 System.Web.Mvc.ValueProviderResultPlaceholder.GetResultFromCollection(String key, NameValueCollection collection, CultureInfo culture) +20 System.Web.Mvc.NameValueCollectionValueProvider.GetValue(String key, Boolean skipValidation) +106 System.Web.Mvc.ValueProviderCollection.GetValue(String key, Boolean skipValidation) +89 System.Web.Mvc.DefaultModelBinder.BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext) +267 System.Web.Mvc.ControllerActionInvoker.GetParameterValue(ControllerContext controllerContext, ParameterDescriptor parameterDescriptor) +335 System.Web.Mvc.ControllerActionInvoker.GetParameterValues(ControllerContext controllerContext, ActionDescriptor actionDescriptor) +105 System.Web.Mvc.Async.<>c__DisplayClass3_1.b__0(AsyncCallback asyncCallback, Object asyncState) +640 System.Web.Mvc.Async.WrappedAsyncResult1.CallBeginDelegate(AsyncCallback callback, Object callbackState) +14 System.Web.Mvc.Async.WrappedAsyncResultBase1.Begin(AsyncCallback callback, Object state, Int32 timeout) +128 System.Web.Mvc.Async.AsyncControllerActionInvoker.BeginInvokeAction(ControllerContext controllerContext, String actionName, AsyncCallback callback, Object state) +346 System.Web.Mvc.<>c.b__152_0(AsyncCallback asyncCallback, Object asyncState, ExecuteCoreState innerState) +27 System.Web.Mvc.Async.WrappedAsyncVoid1.CallBeginDelegate(AsyncCallback callback, Object callbackState) +30 System.Web.Mvc.Async.WrappedAsyncResultBase1.Begin(AsyncCallback callback, Object state, Int32 timeout) +128 System.Web.Mvc.Controller.BeginExecuteCore(AsyncCallback callback, Object state) +494 System.Web.Mvc.<>c.b__151_1(AsyncCallback asyncCallback, Object callbackState, Controller controller) +16 System.Web.Mvc.Async.WrappedAsyncVoid1.CallBeginDelegate(AsyncCallback callback, Object callbackState) +20 System.Web.Mvc.Async.WrappedAsyncResultBase1.Begin(AsyncCallback callback, Object state, Int32 timeout) +128 System.Web.Mvc.Controller.BeginExecute(RequestContext requestContext, AsyncCallback callback, Object state) +403 System.Web.Mvc.Controller.System.Web.Mvc.Async.IAsyncController.BeginExecute(RequestContext requestContext, AsyncCallback callback, Object state) +16 System.Web.Mvc.<>c.b__20_0(AsyncCallback asyncCallback, Object asyncState, ProcessRequestState innerState) +54 System.Web.Mvc.Async.WrappedAsyncVoid1.CallBeginDelegate(AsyncCallback callback, Object callbackState) +30 System.Web.Mvc.Async.WrappedAsyncResultBase1.Begin(AsyncCallback callback, Object state, Int32 timeout) +128 System.Web.Mvc.MvcHandler.BeginProcessRequest(HttpContextBase httpContext, AsyncCallback callback, Object state) +427 System.Web.Mvc.MvcHandler.BeginProcessRequest(HttpContext httpContext, AsyncCallback callback, Object state) +48 System.Web.Mvc.MvcHandler.System.Web.IHttpAsyncHandler.BeginProcessRequest(HttpContext context, AsyncCallback cb, Object extraData) +16 System.Web.CallHandlerExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() +105 System.Web.HttpApplication.ExecuteStepImpl(IExecutionStep step) +50 System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously) +163

9
  • 1
    Indica por favor, el código de la Vista donde realizas el submit, y el código del Controlador donde recibes el request peligroso. el 30 sep. 2019 a las 17:12
  • Lo recomendable es que puedas crear el insert, en lugar de leerlo directamente desde el código HTML.
    – Tridam
    el 30 sep. 2019 a las 17:22
  • 2
    También el texto del error completo. Gracias. el 30 sep. 2019 a las 18:14
  • Edita la pregunta y agrega el HTML que genera al ejecutar "InsertarBeneficio", quiero ver qué hay en document.getElementById('modal-body').innerHTML
    – fredyfx
    el 30 sep. 2019 a las 18:36
  • 1
    No me estoy dejando entender, veamos, una vez que le hayas dado a ejecutar "InsertarBeneficio", dale click derecho, inspeccionar elemento y mira el HTML que ha generado, ese HTML agrégalo a la pregunta. Tengo cierta sospecha que la concatenación de los valores cuando defines "value" están generando ese problema
    – fredyfx
    el 30 sep. 2019 a las 18:53

2 respuestas 2

2

Si estás enviando al servidor código Html (en tu caso < > según indicas en los comentarios), por defecto la Acción de tu Controlador lo interpretará como código peligroso y lanzará una excepción.

Para solucionar este problema, y si no es importante la seguridad de los datos recibidos en el Controlador, puedes anular este comportamiento añadiendo a tu Acción el atributo [ValidateInput(false)].

[Authorize]
[HttpPost]
[ValidateInput(false)]
public ActionResult InsertBeneficios(string id_userCreated, string texto, string icono)
{
    using (DBEnt db = new DBEnt())
    {
        var contacto = new HomeBeneficios()
        {
           texto =  texto,
           icono = icono
        };
        db.HomeBeneficios.Add(contacto);
        //db..add(cat);
        db.SaveChanges();
    }
    var action = "Insert";
    var comments = "Beneficios ingresado por el usuario : ";
    InsertInBitacora(id_userCreated, action, comments + id_userCreated);
    return View("Index");
}
2

Primero, almacena en la base de datos, RAW HTML, es decir, HTML puro, sin codificar ni saneamientos (sanitizings).

Según la documentación: https://docs.microsoft.com/en-us/dotnet/api/system.web.mvc.allowhtmlattribute?view=aspnet-mvc-5.2

En tu modelo:

[AllowHtml] //Agrega este Data-Annotation.
public string PropiedadQueTieneHTML{ get; set; }

Eso sí, al momento de mostrar (renderizar) la información, SÍ o SÍ el HTML debe ser "saneado", para ello utiliza la librería: https://www.nuget.org/packages/HtmlSanitizer/ Con esto te evitas problemas de ataques XSS.

@Html.Raw(HtmlUtility.SanitizeHtml(Model.PropiedadQueTieneHTML))

Lo interesante de la librería: puedes ver el código fuente en https://github.com/mganss/HtmlSanitizer

Y ver parte de su funcionamiento en: http://xss.ganss.org/

Otro detalle adicional, todo desarrollador web tiene el deber de revisar https://www.owasp.org para que entienda cómo mejorar la seguridad de sus aplicaciones web.

2
  • oye fred solo una cosa, como le hago para poder mandar por input todos mis datos? o es mejor mandarlos por ajax? el 1 oct. 2019 a las 14:22
  • 1
    Da lo mismo si los envías por Ajax o por un submit tradicional, lo que acabo de recordar es que olvidé mencionar agregar el [ValidateInput(false)] en la acción del controlador que usas
    – fredyfx
    el 1 oct. 2019 a las 17:39

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.