Depuis toujours nous utilisons l’attribut target=”_blank” afin d’ouvrir un lien dans un nouvel onglet/fenêtre. Il est devenu tellement commun et habituel que nous étions loin de nous douter qu’il pouvait laisser la porte ouverte aux redirections en tout genre depuis votre site !

En effet, c’est par le biais de l’objet window.opener que tout se passe : l’onglet nouvellement ouvert à la possibilité de changer window.opener.location afin de rediriger vers la page de son choix, entre autre vers une page de phishing. Le pire ? Le tout s’exécute depuis votre page, dans laquelle le visiteur à confiance. Imaginez les résultats que cela pourrait engendrer …

La solution pour éviter ce risque est d’ajouter l’attribut rel="noopener noreferrer" à vos liens. De même si vous utilisez window.open(); pour ouvrir une nouvelle fenêtre, la faille est également présente. La solution ici est de remettre à zéro la propriété “opener” comme ceci : var newWnd = window.open(); newWnd.opener = null;

Source : MEDIUM.COM