Sicherheit von Webanwendungen · Middle · Frage 16 von 75
Warum gilt eine CSP wie script-src 'self' https://cdn.example.com https://www.google.com als schwach?
- 1Weil CSP nicht mehr als einen Host pro Direktive unterstützt
- 2Erlaubte Hosts liefern oft JSONP oder alte Bibliotheken, die Code ausführen
- 3Weil Google-Domains von einer strikten CSP immer blockiert werden
Antwort zeigen
Richtige Antwort: Erlaubte Hosts liefern oft JSONP oder alte Bibliotheken, die Code ausführen
Erklärung
Forschung zeigte, dass sich die meisten Allowlist-Richtlinien so umgehen lassen. Nonces oder Hashes mit 'strict-dynamic' sind der empfohlene Ansatz.