a) Веб-сайт полагается на недокументированную обработку тега <img>. Ни в одной спецификации не говорится, что браузер должен делать в подобном случае. Владельцы веб-сайта не проводят контроль ввода данных от недоверенных пользователей. Они ожидают, что браузер применит некоторое волшебство sandboxing, чтобы препятствовать выполнению неких нестандартных действий контентом, опубликованным недоверенными пользователями. Это - ошибка владельцев веб-сайта. Они не должны полагаться на браузер, ожидая от него применения некоей "песочницы". Они обязаны сами должным образом санировать контент от недоверенных пользователей.

b) У нас в Opera принято помогать сайтам, даже когда они делают что-то неправильно. Поэтому в Opera 12.10 мы отключим следование шорткатам в контенте, загружаемом внутри тега <img>. Это именно то, что согласно ожиданиям веб-сайта должен делать браузер, хотя на самом деле такое поведение не описывается ни одним стандартом. Таким образом, мы сделаем то, что они хотят, очень скоро.

c) Фактически, в данном случае нет никакой уязвимости. Даже в случае визуального отсутствия изменений в окне браузера при редиректе, в адресной строке в любом случае будет отображаться фактический адрес (а также наша панель безопасности, встроенная в адресную строку, может предупреждать об опасности). Пользователь может быть обманут, если не обращает внимания на адресную строку (это стандартное условие для любой фишинговой атаки), но таким образом он лишает нас возможности защитить его обычным способом используя антифишинговый фильтр. Это - единственный способ защитить от фишинга. Пользователи, которые не смотрят в адресную строку, всегда будут обманываться мошенниками.

Я в шоке.

Мисти, что такое?

вся суть этой недоделки.

Ogara, у меня такое только на др было