Grimhacker

Foi detectada uma falha na função `postData()` no arquivo `xdLocalStoragePostMessageApi.js`, que define o curinga (`*`) como `targetOrigin` ao chamar a função `postMessage()` no objeto pai. Isso permite que qualquer domínio carregue o aplicativo que hospeda o “iframe mágico” e receba as mensagens que o “iframe mágico” envia.

Foi descoberta uma falha na função `buildMessage()` no xdLocalStorage.js, que especifica o curinga (*) como `targetOrigin` ao chamar a função `postMessage()` no objeto iframe. Isso permite que qualquer domínio atualmente carregado dentro do iframe receba as mensagens enviadas pelo cliente.