Яндекс не считает Tabnabbing уязвимостью

Все блоги / Про интернет 22 мая 2019 258

Что такое Tabnabbing?

Про это написано уже множество статей, например, эта и на OWASP.

Если вкратце — управление вкладкой браузера через дочернюю вкладку, открытую с target="_blank". Установив ссылку на внешний сайт с target="_blank", сайт будет иметь доступ к window.opener, через который можно сменить location у вкладки, с которой ведет ссылка. Все крупные сервисы, разрешающие вставлять ссылки, защищают пользователя от такого поведения через добавление rel=«noopener» или прокси-страницу.

Да даже когда такая была в Яндекс.Почте — ее признали и закрыли.

Но не в Турбо-страницах

Читать дальше →

Источник: Хабрахабр

Оцените публикацию

предыдущая статья

следующая статья

Похожие публикации

Опасный target="_blank"

Большинство создают внешние ссылки через target="_blank" и не знают одного интересного нюанса — страница, на которую мы попадем таким образом, получит частичный контроль над ссылающейся на нее страницей через js свойство window.opener. Через window.opener.location мы сможем сделать редирект на, к

подробнее »

3 мая 2016

Яндекс.Деньги запустили переводы через Telegram

Мессенджер научился распознавать среди текста сообщения номер карты и автоматически создавать по нему ссылку на страницу Яндекс.Денег, с которой можно быстро отправить перевод.

подробнее »

16 марта 2020

Security week 3: вор у вора биткойны украл, здесь мог быть ваш троян, десять дней без компьютеров

Новость Недавно в поле зрения ИБ-исследователей попали владельцы прокси-сервиса для Tor, которые грабили своих пользователей и вымогателей. Дело в том, что этот Tor-прокси сервис часто использовался жертвами криптовирусов, неспособными или не готовыми разбираться с установкой браузера Tor. Именно

подробнее »

8 февраля 2018

Tabnabbing: экстравагантный фишинг

Последние три дня примечательны тем, что в сеть попали три больших базы аккаунтов пользователей почты Яндекса, Mail.ru и Gmail. Многие пользователи хабра, равно как и других тематических ресурсов по вопросам безопасности, сходятся во мнении, что аккаунты, вероятнее всего, попали в базы либо в

подробнее »

10 сентября 2014

[Перевод] Анонимность в Tor: что нельзя делать

Посещать собственный сайт в анонимном режиме «Интересно, как выглядит мой сайт, когда я анонимный?» [1] Лучше избегать посещения персональных сайтов, к которым прикреплены реальные имена или псевдонимы, особенно если к ним когда-либо подключались не через Tor / с реальным IP-адресом. Вероятно,

подробнее »

30 мая 2017