Ist opener 2x möglich?

[Struppi]

Fenster1 (auf welches ich absolut keinen Einfluss habe!):
Domain: abc.de
Führt aus: window.open(Fenster2)

Fenster2 (dort kann ich Code einsetzen):
Domain: abc.de
Von mir eingesetzt: SCRIPT type=text/javascript src=http://xyz.de
Führt aus: window.open(Fenster3) und Fenster3.write(code)

und Fenster3 ist folglich von der Domain xyz.de geöffnet worden und hat keinen Zugriff auf abc.de

Bist du dir da absolut sicher? Ich habe FUNKTIONIERENDEN Code, der in exakt der von mir beschriebenen Weise von Fenster3 auf Fenster2 zugreift!

Das kann nicht sein, das Skript und das ist das einzige was zählt, ist lt. deiner Aussage von xyz.de und das darf nicht auf abc.de zugreifen, auch wenn abc.de das Skript einbindet.

Fenster3 (vollständig von mir kontrollierbar):
Domain: sollte m.E. abc.de sein

Nein.

Warum kann ich dann von Fenster3 aus auf das mit Sicherheit zu Domain abc.de gehörende Fenster zugreifen?

Das Fenster ja, aber nicht das Skript!

Ich bitte auch zu beachten, WIE Fenster3 geöffnet wird: window.open('','Fenster3').
Es wird also KEINE Adresse mitgegeben - ein leeres Fenster wird geöffnet. Das Fenster wird erst mit Code gefüllt!

Der Code, der Fenster3 öffnet und füllt, wird per o.a. SCRIPT Tag aufgerufen. Das Script stammt aus Domain xyz.de.

Es funktioniert übrigens im IE, im FF und in Opera.

Nicht der Zugriff von xyz.de auf die Seite die von abc.de erzeugt wird. Wenn das stimmt was du sagst dann du hast eine Sicherheitslücke entdeckt.

und wie an anderer Stelle erwähnt, es bringt nichts irgendwas was nicht sein kann, dauernd zu behaupten. Zeig es!

Struppi.