iframe same-origin sandbox

[Christian Kruse]

Hallo Ingrid,

vielleicht wird es klarer, wenn man den Sinn erkennt. Das ist eine Mitigation-Strategie gegen XSS- und CSRF-Lücken. Wenn der Angreifer es schafft, die URL eines iframe zu verändern, dann schützt einen das sandbox-Attribut dagegen, dass ein ungewollter Request mit Benutzerrechten ausgeführt wird. allow-same-origin heisst also nicht „erlaube Same-Origin des Openers,“ sondern „erlaube Same-Origin-Requests.“

Freundliche Grüße,
Christian Kruse