So che l'XSS è possibile se il window.name è riportato nella pagina, ma dalla mia comprensione, questo richiede l'utilizzo di un iFrame, ma cosa succede se la pagina ha una protezione per il clickjacking, impedendo che la pagina venga incorporata in un iFrame ? Un tale attacco è ancora possibile? Ecco l'esempio di JQuery ...
<script>
$("div").html(window.name);
</script>
L'altro modo per ottenere un altro window è di farlo apparire. È possibile specificare il nome della finestra nel secondo parametro:
var victim= window.open('http://example.com/vulnerable', '<script>alert("boom");<\/script>');
Il metodo .text () sembra più adeguato / più sicuro per risolvere i requisiti funzionali di echoing window.name nella pagina DOM.
<script>
$("div").text(window.name);
</script>
dai documenti jquery: link
We need to be aware that this method escapes the string provided as necessary so that it will render correctly in HTML. To do so, it calls the DOM method .createTextNode()