Я слышал от друга, что заголовок WWW-Authenticate можно явно определить в вредоносном php-файле на удаленном сервере и использовать mimetype изображения, например, image/jpeg или image/png.
Гипотетическая ситуация
Скажите, что это файл malicious.com/image.php, и я добавляю это изображение к своей подписи на каком-то произвольном форуме. В частности, gaiaonline.com. Когда другой посетитель посетит ветку с моим сообщением, он увидит приглашение для входа в систему, указанное в заголовке WWW-Authenticate. После того, как посетитель / жертва введет свое имя пользователя / пароль, хакер может сохранить его на своем удаленном сервере, отправить его по электронной почте и т. Д.
Вредоносный код: <img src="malicious.com/image.php" />, содержащий заголовок WWW-Authenticate. Может быть введен через стандартную публикацию / BBcode.
Как это можно исправить? Я думаю, что для этого доступен междоменный доступ .