Przeglądarka i wydajność · Senior · Pytanie 66 z 75
Dlaczego allow-scripts allow-same-origin na iframe z sandbox i treścią same-origin jest niebezpieczne?
- 1Wyłącza CSP dla całej strony
- ✓Poprawna odpowiedź: Skrypt w ramce może sięgnąć do rodzica i usunąć atrybut sandbox, uciekając z piaskownicy
- 3Iframe w ogóle się nie załaduje
Wyjaśnienie
Z obiema flagami treść same-origin w praktyce nie ma piaskownicy. Dla niezaufanej treści używaj osobnego originu.