Un handler postMessage d’iframe ne doit pas faire confiance aux messages reçus par défaut. L’article montre trois attaques concrètes : origine incorrecte, mauvaise fenêtre malgré la bonne origine, et données valides mais dangereuses. Il recommande de vérifier strictement event.origin, de comparer event.source avec le contentWindow attendu, puis de valider et borner le payload avant toute action. Côté émission, il conseille aussi d’éviter '*' et de cibler une origine précise.

Sans cet attribut, l'accès aux ressources de la page appelante par l'iframe est permis !

Tout est dans le titre

Tout est dans le titre

Tout est dans le titre (via https://blog.stephaniewalter.fr/semaine-pixels-15-avril-2016/ )

Tout est dans le titre

Tout est dans le titre