0

Я использую утилиту electronegativity для выявления уязвимостей в своей программе. Я застрял на одной проблеме, данная утилита жалуется на index.html файл, уязвимость CSP_GLOBAL_CHECK. Вот мой код:

<!DOCTYPE html>
<html>
  <head>
    <meta charset="UTF-8">
    <!-- https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP -->
    <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">
    <script src="./scripts/renderer.js"></script>
    <title>Hello World!</title>
  </head>
  <body>
    <h1>Hello world!</h1>
  </body>
</html>

Вот лог об уязвимости: Найденная уязвимость

Я пытался устранять ошибку разными способами, к примеру изменяя <meta> строку на такую:

<meta http-equiv="Content-Security-Policy" content="default-src 'none';">

Но тогда мой скрипт (./scripts/renderer.js) не хотел запускаться, возникала такая ошибка в консоли:

Refused to load the script 'file:///home/katze/test-electron-app/src/web/scripts/renderer.js' because it violates the following Content Security Policy directive: "default-src 'none'". Note that 'script-src-elem' was not explicitly set, so 'default-src' is used as a fallback

Подскажите пожалуйста что делать, я пытался найти решения, но они не сработали.

1 ответ 1

0

Нужно было добавить разрешение в CSP на загрузку скриптов с локального хранилища. В общем итоговая строка должна выглядеть так:

<meta http-equiv="Content-Security-Policy" content="default-src 'none'; script-src-elem 'self' file://*">

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.