Dodatkową ochronę daje atrybut SameSite plików cookie sesji. Pliki z wartością Strict lub Lax nie są dołączane do żądań wysyłanych ze strony w ramce, więc atak wymagający zalogowania ofiary się nie powiedzie. Atrybut nie chroni jednak przed atakami, które nie wymagają uwierzytelnienia. Proste skrypty JavaScript blokujące wyświetlanie strony w ramce można obejść, np. przez osadzenie strony w dwóch zagnieżdżonych ramkach albo w ramce z wyłączoną obsługą skryptów, dlatego OWASP zaleca łączenie kilku niezależnych metod ochrony.
Zobacz też Cross-site scripting Cross-site request forgery Inżynieria społeczna (informatyka)
Przypisy
Kategoria:Internet Kategoria:Bezpieczeństwo komputerowe