Project

General

Profile

Development #43217

fc.js: ajouter noopener,noreferrer lors du window.open

Added by Thomas Noël 8 days ago. Updated 5 days ago.

Status:
Solution déployée
Priority:
Normal
Assignee:
-
Category:
-
Target version:
-
Start date:
22 May 2020
Due date:
% Done:

0%

Patch proposed:
Yes
Planning:
No

Description

Dans src/authentic2_auth_fc/static/authentic2_auth_fc/js/fc.js il y a

var newWindow = window.open(url, title, 'location=0,status=0,menubar=0,toolbar=0,scrollbars=yes, width=' + w + ', height=' + h + ', top=' + top + ', left=' + left);

Il faut semble-t-il plutôt passer par quelque chose comme :

function openPopup(url, name, windowFeatures) {
  //Open the popup and set the opener and referrer policy instruction
  var newWindow = window.open(url, name, 'noopener,noreferrer,' + windowFeatures);
  // Reset the opener link
  newWindow.opener = null;
}

pour éviter les possibles attaques «reverse tabnabbing.»

0001-franceconnect-add-reverse-tabnabbing-protection-4321.patch View (1.24 KB) Thomas Noël, 22 May 2020 11:04 AM

Associated revisions

Revision 5ce3efbe (diff)
Added by Thomas Noël 8 days ago

franceconnect: add reverse-tabnabbing protection (#43217)

History

#1 Updated by Thomas Noël 8 days ago

#2 Updated by Thomas Noël 8 days ago

Je sais pas trop commenter tester si "ça marche"... j'ai fait une branche, avis aux amateurs.

#4 Updated by Benjamin Dauvergne 8 days ago

En fait le mode popup devrait être retiré, c'est interdit par FC donc jamais activé, mais c'est un plus gros patch...

#5 Updated by Benjamin Dauvergne 8 days ago

  • Status changed from Solution proposée to Solution validée

#6 Updated by Thomas Noël 8 days ago

  • Status changed from Solution validée to Résolu (à déployer)
commit 5ce3efbeee3e21483ddb4385cea960abe781a057
Author: Thomas NOEL <tnoel@entrouvert.com>
Date:   Fri May 22 11:04:23 2020 +0200

    franceconnect: add reverse-tabnabbing protection (#43217)

#7 Updated by Frédéric Péters 5 days ago

  • Status changed from Résolu (à déployer) to Solution déployée

Also available in: Atom PDF