Steal postmessage modifying iframe location
Menjanje lokacija dečijih iframe-ova
Prema ovom objašnjenju, ako možete da iframe-ujete veb stranicu bez X-Frame-Header-a koja sadrži drugi iframe, možete promeniti lokaciju tog dečijeg iframe-a.
Na primer, ako abc.com ima efg.com kao iframe i abc.com nema X-Frame header, mogu promeniti efg.com u evil.com preko, frames.location
.
Ovo je posebno korisno kod postMessages jer ako stranica šalje osetljive podatke koristeći wildcard kao što je windowRef.postmessage("","*")
, moguće je promeniti lokaciju povezanog iframe-a (dečijeg ili roditeljskog) na lokaciju koju kontroliše napadač i ukrasti te podatke.
Last updated