JSONのハイジャックが機能しない
JSONハイジャック を防ぐために、サイトにパッチを適用しました。このプロセスの間、私はこの脆弱性を実際に悪用できるかどうか興味を持っていました。
そこで、foo.htmlを作成し、ログインしたサイトを参照するソース属性を持つスクリプトタグを追加しました。この脆弱性を利用することはできませんでした。ネットワークトラフィックを確認したところ、リクエストで認証Cookieが渡されていることがわかりませんでした。
これは、ほとんどのブラウザで脆弱性が修正されたことを意味しますか？どのブラウザがそれを修正したかを私に知らせるいくつかの表はありますか？または、この脆弱性を完全に誤解していますか？
これは、ほとんどのブラウザで脆弱性が修正されたことを意味しますか？
はい、この脆弱性は約10年前にすべてのブラウザで修正されました。 John Resigによると 、JavaScript仕様が変更され、少なくともFirefoxでの動作が変更されたため、コンストラクターをオーバーライドしてデータを盗むことができなくなりました。
どのブラウザがそれを修正したかを私に知らせるいくつかの表はありますか？
一般的には違います。一部の機能について CanIUse は、どのブラウザーが実装したかを示します。 Chromeステータスサイト は、Chromeの機能の状態を確認するのに役立ちます。
リクエストで認証Cookieが渡されているのを確認できませんでした。
私はクッキーが存在することを期待します。おそらく、これを最新のChromeでテストしています 他のサイトにCookieを送信する場合はさらに注意してください 。