Привет, а кто-нибудь сталкивался в последнее время с cross-site websockets

Question

Привет, а кто-нибудь сталкивался в последнее время с cross-site websockets

hijacking на практике?
(пример - https://portswigger.net/web-security/websockets/cross-site-websocket-hijacking). В чем суть: якобы HTTP-upgrade запрос, с которого начинается вебсокет-соединение, особенный, и он не обращает внимания на SOP ввиду того, что трансформируется в wss далее, что позволяет сделать CSRF-подобные гадости
Вопрос в чем, в хроме и лисе последней версии эта история не воспроизводится: куки не цепляются при кросс-доменном HTTP-upgrade запросе в принципе, только если явно не задать Same-Site None (что логично)
И я вот думаю, актуальна ли сейчас вообще такая история, потому что за последние годы есть какие-то статьи, но они все жухлые. Либо такая уязвимость неактуальна в новых браузерах, либо ЧЯДНТ...

#html #programming #russian

0

24.05.2023