Com certeza! Muito embora quem esteja correndo maior risco é a página que usa seu serviço (afinal você poderia injetar código malicioso nela), existem ataques que se aproveitam do fato do servidor não sanitizar suas entradas. A wikipedia lista alguns deles. Vou dar apenas um exemplo, que deve ser suficiente pra perceber a importância de validar aquilo que seu servidor envia ao usuário.
Reflected File Download
A ideia por trás desse ataque é explorar sites que refletem de volta conteúdo arbitrário enviado a eles. O browser, vendo o conteúdo malicioso chegar do site legítimo, age sobre esse conteúdo sem questionar. É um exemplo do confused deputy attack.
No caso do JSONP o que um atacante consegue fazer é limitado, mas eu encontrei um exemplo que utiliza esse protocolo. Vou tentar sumarizá-lo aqui (não tem como anonimizar - já que o artigo está publicamente disponível e facilmente recuperável - mas vou evitar citar o serviço real aqui porque não tenho certeza se essa vulnerabilidade já foi ou não consertada):
O seu site possui uma API JSONP para obter uma informação qualquer:
http://example.com/api/jsonp?callback=myCallback
Ele não valida o nome da função, permitindo executar código arbitrário:
http://example.com/api/jsonp?callback=alert%28document.cookie%29%3Bfoo{}
Executa no browser do usuário:
alert(document.cookie);
foo{}( resposta do jsonp );
Ok, os cookies do usuário foram acessados, mas até aí quem está com problemas é só o site que fez a requisição, não o seu...
O HTML5 possui um atributo para o elemento a
- download
- que faz com que quando o usuário clicar no link em vez do browser o levar para uma página, um download é iniciado. Segundo a documentação ele suporta até mesmo URIs do tipo blob:
e data:
! (Nota: não sei as implicações disso na segurança, e de todo modo não é relevante pra esse caso)
Suponha que um link desses seja criado apontando pra API JSONP do seu site:
<a href="http://example.com/api/jsonp?callback=algo_malicioso" download="instalador.exe">Link legal!</a>
Se seu site alegremente refletir esse conteúdo de volta, um download será iniciado no browser do usuário, reportado como vindo do seu site, mas o conteúdo do mesmo foi parcialmente fornecido pelo atacante (que pode dar um jeito de ignorar o que você postou de volta, segundo a sintaxe específica do arquivo que ele quer retornar).
Tudo o que o atacante precisa fazer então é convencer algumas pessoas (num processo de phishing por exemplo) a acessar esse link e abrir o arquivo retornado. Note que mesmo os usuários mais atentos vão olhar pra URL e constatar que de fato é um link pro seu site... E o browser em si também considerará isso ao aplicar suas políticas de segurança pra downloads.
OK, validar é preciso, mas como?
Como o Marco Aurelio já comentou em sua resposta, quanto mais validação você fizer mais restrita será a forma de usar seu serviço (o cliente quer objetoGlobal.array[42].objeto.metodo
, mas você só aceita callbacks simples, ele é obrigado a criar uma nova função global). Entretanto, isso não deve ser um grande problema - basta o script definir a nova função global, com um nome aleatório e único, e removê-la ao final da execução. Uma validação simples como a regex sugerida me parece de bom tamanho.
Você poderia também "violar as regras do JSONP" de modo a tornar mais difícil explorar vulnerabilidades desse tipo. Em vez de retornar:
callback({ ... });
você poderia retornar:
;(function() { callback({ ... }); })();
e o resultado deveria ser o mesmo (e fica mais difícil - mas não impossível - agir num conteúdo que está no meio de uma expressão, não no seu início). Não estou dizendo que é necessariamente uma boa ideia, apenas levantando uma possibilidade...
No fim das contas, o ideal mesmo é evitar JSONP sempre que possível. Já avaliou a possibilidade de usar CORS? Permitir domínios arbitrários acessarem seu servidor é sempre um risco, e você teria que se planejar de acordo (ex.: não confiar somente nos cookies para determinar se um usuário está ou não logado), mas pelo menos nesse caso você estaria lidando apenas com dados, que são muito mais simples de gerenciar que código, além de não ficar amarrado a ecoar de volta algo recebido do cliente.
JSONP
não é retornar o nome de uma função pré-definida na página requerente ?