hackmdio/codimd

<iframe> tag cause open redirect

Open

#959 aperta il 18 set 2018

Vedi su GitHub
 (2 commenti) (0 reazioni) (0 assegnatari)JavaScript (1038 fork)batch import
Hacktoberfesthelp wantedsecurity

Metriche repository

Star
 (8949 star)
Metriche merge PR
 (Nessuna PR mergiata in 30 g)

Descrizione

If the source website has the script like this:

<script type="text/javascript">
if(window != top) {
    top.location.href = location.href;
}
</script>

It may cause a open redirect issue on codimd. I use www.plurk.com which has anti-clickjacking code to demo.

Demo Link in demo.codimd.org

<iframe src="https://www.plurk.com/k1tten_">

Broswer verison:

Safari 11.0.2: triggered
Firefox Quantum 62.0 : triggered
Chrome 68.0.3440.106: not triggered

Guida contributor

Direzione di ricerca
Esamina la gestione degli iframe nel rendering delle note e assicurati che tutti gli URL impostati tramite top.location vengano filtrati o bloccati.
Tech stack
javascript
Dominio
security
Tipo issue
Bug
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
GitWeb Security
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
70