Electronのwebview要素ではallowpopups属性をつけてはいけない - 葉っぱ日記

Electronを使ってブラウザのようなアプリケーションを作る場合には webviewタグが使用される。例えば、アプリケーション内にexample.jpのサイトを表示するには以下のようにHTMLに記述する。 <webview src="http://example.jp/"></webview> ここで、webviewタグにallowpopups属性を付与すると、example.jpサイト内のコードからwindow.open等を使って新たにウィンドウを開くことができるようになる。このとき、example.jpに悪意があり以下のようなコードが含まれているとする。 if( typeof require === "undefined" ) window.open( 'http://example.jp/', '', 'nodeIntegration=1'); else require( "chi

[kazuau]

ご自分のブログに書かれる前に、github.com/atom/electronでissue立てて欲しい。issuesのsecurityラベル確認したけどopenなのはひとつもなかった。

[rryu]

Electronはある意味IEのマイコンピューターゾーンを復活させた形になっているのだが、その割に隔離機構が何も無いのがつらいな。

[digitalglm]

Electronのwebview要素ではallowpopups属性をつけてはいけない - 葉っぱ日記: Electronを使ってブラウザのようなアプリケーションを作る場合には webview…

[burnworks]

『webviewタグにallowpopups属性をつけてリモートサイトを表示している場合、リモートサイトから任意コードの実行が可能になる』