Clickjacking پایه روی فرم تغییر ایمیل حساب

اگر یک صفحه هیچ هدر X-Frame-Options یا CSP با frame-ancestors نداشته باشد، هر سایتی می‌تواند آن را در یک <iframe> شفاف قرار دهد و با یک دکمه‌ی وسوسه‌انگیز روی آن (UI Redressing)، کلیک قربانی را به دکمه‌ی واقعی پنهان (مثل "تایید تغییر ایمیل") هدایت کند — بدون آنکه قربانی متوجه شود.

نحوه‌ی تست

• یک صفحه‌ی HTML ساده با یک iframe حاوی صفحه‌ی هدف بسازید.
• اگر صفحه بدون مانع لود شد، آسیب‌پذیر به Clickjacking است.

راه‌حل

تنظیم X-Frame-Options: DENY (یا SAMEORIGIN) یا Content-Security-Policy: frame-ancestors 'none' روی تمام صفحات حساس، به‌صورت سراسری در میدل‌ور.