XSS в a href, но target=_blank блокирует исполнение

[Revoltage]

Нашел уязвимое место в создании гиперссылок в href, также стоит target=_blank, ввожу пейлоад получаю следующее:

<a href="javascript:alert(1)" target="_blank">Click me</a>
Но браузер при нажатии открывает новый таб с about:blank#blocked без выполнения кода, я пробовал повторить на локалке и везде, но никак не могу заставить работать JS код. Может знает кто, как решить проблему?

 

[Mark Klintov]

Проблема возникает из-за того, что браузер блокирует выполнение JavaScript кода в новом окне. Чтобы исправить это, нужно добавить атрибут rel="noopener" к тегу <a>:

<a href="javascript:alert(1)" target="_blank" rel="noopener">Click me</a>

 

[Revoltage]

Проблема возникает из-за того, что браузер блокирует выполнение JavaScript кода в новом окне. Чтобы исправить это, нужно добавить атрибут rel="noopener" к тегу <a>:

<a href="javascript:alert(1)" target="_blank" rel="noopener">Click me</a>

Разве у браузеров не централизованные стандарты? В FireFox такое отлично исполняется, странное

 

[Mark Klintov]

Разве у браузеров не централизованные стандарты? В FireFox такое отлично исполняется, странное

Да, стандарты централизованные, но разрабы могут не соблюдать этого, использовать свои методы или иметь свои собственные правила