Sicherheit von Webanwendungen · Senior · Frage 17 von 75
Warum kann XSS über postMessage selbst auf einer Website mit strikter CSP passieren?
- 1Der vertraute Handler gibt die Daten an eine Senke, Nonces helfen also nicht
- 2Weil CSP für keine Seite in einem iframe gilt
- 3Weil ein Aufruf von
postMessagedie CSP für die ganze Seite abschaltet
Antwort zeigen
Richtige Antwort: Der vertraute Handler gibt die Daten an eine Senke, Nonces helfen also nicht
Erklärung
CSP blockiert neue Skripte, nicht deinen eigenen Code, der etwas Gefährliches tut. Trusted Types fangen solche Flüsse von String zu Senke ab.