Bypassing Content-Security-Policy leads to open-redirect and iframe xss
该报告还没有中文解读。
原文摘录
摘自原文（2001 字符中的一小部分）
Summary: `https://my.stripo.email/cabinet/#/template-editor/.....` has the ff: code to make iframes more secure:
原文中的代码
<meta http-equiv="Content-Security-Policy" content="default-src 'self';
frame-src data: *.firebaseapp.com *.stripe.com *.google.com *.facebook.com 'self';
style-src 'self' 'unsafe-inline' *;
script-src 'self' 'unsafe-eval' 'unsafe-inline' *.ampproject.org googletagmanager.com …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Stripo Inc 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @echidonut · 版权归作者与 Stripo Inc 所有