Веб-безпека · Senior · Запитання 17 з 75

Чому XSS через `postMessage` можливий навіть на сайті із суворою CSP?

✓Правильна відповідь: Обробник повідомлень - довірений код; якщо він передає дані в приймач на кшталт innerHTML чи location, правила nonce у CSP не діють
2Бо CSP не діє на iframe
3Бо postMessage вимикає CSP для сторінки

Пояснення

CSP блокує нові скрипти, а не ваш власний код, що робить щось небезпечне. Trusted Types ловлять такі потоки рядків у приймачі.

Де почитати

Перевірте себе

Пройдіть тест Веб-безпека · Senior: запитання й варіанти перемішуються, а наприкінці - розбір помилок.

Пройти цей тест