利用表单劫持绕过 CSP

摘要

表单劫持绕过 CSP：借 formaction 属性或注入表单把数据发往攻击者服务器；配合密码管理器自动填充可窃取凭据。案例包括 Infosec Mastodon 与 PortSwigger 自身站点，Burp 已新增被动扫描。