Bezpieczeństwo aplikacji webowych · Middle · Pytanie 16 z 75
Dlaczego CSP w rodzaju script-src 'self' https://cdn.example.com https://www.google.com uważa się za słabą?
- 1Bo CSP nie obsługuje więcej niż jednego hosta
- ✓Poprawna odpowiedź: Dozwolone hosty często mają endpointy JSONP lub stare biblioteki, których atakujący mogą użyć do uruchomienia kodu
- 3Bo domeny Google są blokowane przez CSP
Wyjaśnienie
Badania pokazały, że większość polityk z listami hostów da się tak obejść. Zalecane podejście to nonce lub hashe z 'strict-dynamic'.