Przeglądarka i wydajność · Senior · Pytanie 45 z 75
Dlaczego CSP z listą dozwolonych hostów, jak script-src 'self' https://cdn.example.com, często da się obejść?
- 1Przeglądarki ignorują listy hostów w CSP
- 2Listy hostów dotyczą tylko obrazów
- ✓Poprawna odpowiedź: Dozwolone hosty mogą serwować endpointy JSONP lub stare biblioteki ze script gadgets, którymi atakujący uruchomi kod
Wyjaśnienie
Badania wykazały, że większość polityk opartych na listach da się obejść. Strict CSP oparta na nonce lub hashach tego unika.