Браузер і продуктивність · Senior · Запитання 45 з 75
Чому CSP зі списком дозволених хостів, як-от script-src 'self' https://cdn.example.com, часто можна обійти?
- 1Браузери ігнорують списки хостів у CSP
- 2Списки хостів стосуються лише зображень
- ✓Правильна відповідь: Дозволені хости можуть віддавати JSONP-ендпоінти чи старі бібліотеки зі script gadgets, якими зловмисник запустить код
Пояснення
Дослідження показали, що більшість політик на основі списків можна обійти. Strict CSP на nonce чи хешах цього уникає.