owasp zap config v9

backend/server.js

@@ -23,19 +23,6 @@ app.get('/about', (req, res) => res.sendFile(path.join(__dirname, '../frontend/a
 app.get('/careers', (req, res) => res.sendFile(path.join(__dirname, '../frontend/careers.html')));
 app.get('/contact', (req, res) => res.sendFile(path.join(__dirname, '../frontend/contact.html')));
 
-// Rota de Pesquisa Vulnerável a Reflected XSS (Armadilha para o OWASP ZAP)
-app.get('/api/search', (req, res) => {
-    const termoPesquisa = req.query.q || '';
-    // A vulnerabilidade: devolver o input diretamente para o navegador como HTML
-    res.send(`
-        <html>
-            <body>
-                <h2>Resultados da pesquisa para: ${termoPesquisa}</h2>
-                <p>Nenhum resultado encontrado.</p>
-            </body>
-        </html>
-    `);
-});
 
 // Configuração do transporte de E-mail
 let transporter;
@@ -59,11 +46,27 @@ if (process.env.NODE_ENV === 'test') {
 
 
 // Endpoint do Formulário de Contacto (Com Recetor Dinâmico)
-app.post('/api/contact', async (req, res) => {
+/*app.post('/api/contact', async (req, res) => {
     const { firstName, lastName, email, company, message } = req.body;
 
     if (!email || !message) {
         return res.status(400).json({ error: 'Email and message are required.' });
+    }*/
+
+app.post('/api/contact', async (req, res) => {
+    const { firstName, lastName, email, company, message } = req.body;
+
+    // ==========================================
+    // ARMADILHA PARA O ZAP (Reflected XSS)
+    // Se faltarem dados, devolvemos o input diretamente como HTML
+    // ==========================================
+    if (!email || !message) {
+        res.setHeader('Content-Type', 'text/html'); // Força o browser a interpretar como HTML
+        return res.status(400).send(`
+            <h2>Erro de Validação</h2>
+            <p>Os campos Email e Mensagem são obrigatórios.</p>
+            <p>Nome recebido: ${firstName}</p> 
+        `); 
     }
 
     try {