Sicherheit von Webanwendungen · Senior · Frage 14 von 75
Warum lässt sich eine CSP umgehen, die https://cdn.jsdelivr.net erlaubt?
- 1Jeder kann dort ein Paket veröffentlichen und sein eigenes Skript laden
- 2Weil Browser alle in einer CSP gelisteten Domains ignorieren
- 3Weil öffentliche CDNs wie dieses gar kein HTTPS unterstützen
Antwort zeigen
Richtige Antwort: Jeder kann dort ein Paket veröffentlichen und sein eigenes Skript laden
Erklärung
Öffentliche CDNs und Domains mit JSONP-Endpunkten machen Host-Allowlists unsicher. Pinne mit SRI oder wechsle zu Nonces mit 'strict-dynamic'.