hackmdio/codimd

<iframe> tag cause open redirect

Open

#959 aberto em 18 de set. de 2018

Ver no GitHub
 (2 comments) (0 reactions) (0 assignees)JavaScript (1.038 forks)batch import
Hacktoberfesthelp wantedsecurity

Métricas do repositório

Stars
 (8.949 stars)
Métricas de merge de PR
 (Nenhuma PRs mesclada em 30d)

Description

If the source website has the script like this:

<script type="text/javascript">
if(window != top) {
    top.location.href = location.href;
}
</script>

It may cause a open redirect issue on codimd. I use www.plurk.com which has anti-clickjacking code to demo.

Demo Link in demo.codimd.org

<iframe src="https://www.plurk.com/k1tten_">

Broswer verison:

Safari 11.0.2: triggered
Firefox Quantum 62.0 : triggered
Chrome 68.0.3440.106: not triggered

Guia do colaborador

Direção de pesquisa
Investigue o tratamento de iframes na renderização de notas e garanta que quaisquer URLs definidos via top.location sejam filtrados ou bloqueados.
Pilha de tecnologia
javascript
Domain
security
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitWeb Security
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
70