Bezpieczeństwo aplikacji webowych · Senior · Pytanie 17 z 75

Dlaczego XSS przez `postMessage` może się zdarzyć nawet na stronie z restrykcyjną CSP?

✓Poprawna odpowiedź: Handler wiadomości to zaufany kod; jeśli przekaże dane do ujścia jak innerHTML czy location, reguły nonce w CSP nie mają zastosowania
2Bo CSP nie dotyczy ramek iframe
3Bo postMessage wyłącza CSP dla strony

Wyjaśnienie

CSP blokuje nowe skrypty, a nie Twój własny kod robiący coś niebezpiecznego. Trusted Types wyłapują takie przepływy tekstu do ujść.

Do poczytania

Sprawdź się

Rozwiąż test Bezpieczeństwo aplikacji webowych · Senior: pytania i odpowiedzi są tasowane, a na końcu czeka przegląd błędów.

Rozwiąż ten test