Check origin of events

Cette page n'est pas encore disponible en français, sa traduction est en cours.
Si vous avez des questions ou des retours sur notre projet de traduction actuel, n'hésitez pas à nous contacter.

Metadata

ID: javascript-browser-security/event-check-origin

Language: JavaScript

Severity: Warning

Category: Security

CWE: 346

Description

Not checking the rule origin can lead to XSS attacks. Always check the event origin.

Learn More

Non-Compliant Code Examples

window.addEventListener('message', (event) => {
  processing();
})

Compliant Code Examples

window.addEventListener('message', (event) => {
  if (event.origin != 'https://app.domain.tld') {
    throw new Error('invalid origin')
  }

  processing();
})