_blank ที่ไม่ blank

if (window.opener) {
window.opener.location = “https://shayennn.com/online-radio/”;
}

 

วันนี้พึ่งเห็นว่ามีช่องโหว่แบบนี้เกิดขึ้น

เวลาเราจะแทรกลิงค์ลงเว็บเราจะใช้ a tag ชะ

<a href=”https://shayennn.com/2016/09/06/blank-not-blank” target=”_blank”></a>

คือถ้าเรากด Link ในเว็บแรก มันจะเปิด tab ใหม่ขึ้นมา

 

แต่เห็นข้างบนมั๊ยครับ นั่นหล่ะครับ ถ้ามี Javascript นี้ในเว็บนั้นมันจะเปลี่ยนเว็บให้เป็นตามมันสั่งหล่ะครับ

แน่นอนว่าทุกคนที่เข้ามาอ่านก็ได้ทดลองแล้ว ลองกลับไปดูเว็บที่กดมาสิครับ 😉

 

สำหรับวิธีแก้ไขคือ ใส่ rel=”noopener” เข้าไปเท่านั้นหล่ะ

 

ที่มา : https://dev.to/ben/the-targetblank-vulnerability-by-example

ใส่ความเห็น