Same-Origin Method Execution

應用程式可將使用者可以控制的參數反映為將由瀏覽器執行的 JavaScript 回呼函數，而這可能會讓攻擊者得以在相同端點的網域上的任何頁面中執行任意 JavaScript 函數。

應用程式將由攻擊者控制的參數用作瀏覽器將要執行之 JavaScript 函數的名稱。 攻擊者可能會建立惡意網站，其首先會在應用程式所在相同網域上建立目標頁面的框架，然後參照易受攻擊的頁面，以便在目標頁面上執行任意 JavaScript 函數。 雖然存在一些重要的攻擊限制，但此攻擊的影響與 Cross-Site Scripting 的影響類似。 如果允許將英數字元和點字元用作回呼名稱，則攻擊者將能夠參照頁面上的元素並與之互動。

範例 1： 以下程式碼建構 JSONP 回應，其中回呼函數名稱可由使用者控制。

  def myJSONPService(callback: String) = Action {
    val json = getJSONToBeReturned()
    Ok(Jsonp(callback, json))
  }

對於諸如 GET /api/latest.json?callback=myCallbackFunction 的要求，Example 1 中所述的控制項方法會產生一個諸如以下內容的回應：

HTTP/1.1 200 Ok 
Content-Type: application/json; charset=utf-8
Date: Tue, 12 Dec 2017 16:16:04 GMT
Server: nginx/1.12.1
Content-Length: 225
Connection: Close

myCallbackFunction({<json>})

攻擊者可以使用 JavaScript Script 標籤從 JSONP 端點載入回應，其會變成執行 myCallbackFunction 函數。 攻擊者可以使用不同的回呼名稱來導覽 DOM 並與之互動。 例如，opener.document.body.someElemnt.firstChild.nextElementSibling.submit 可用來在目標頁面中尋找表單並進行提交。